CVE-2026-68481 in CXF
Sumário
de VulDB • 07/08/2026
No DefaultEncryptingOAuthDataProvider do Apache CXF, os tokens de acesso revogados ainda são descriptografados com sucesso e o TokenIntrospectionService relata active:true. O mesmo ocorre para os refresh tokens. Isso viola as especificações da RFC que estabelecem: 'O servidor de autorização DEVE invalidar o token' e 'a introspecção de um token revogado DEVE retornar {"active":false}'. Recomenda-se aos usuários atualizar para as versões 4.2.3, 4.1.8 ou 3.6.12, que corrigem este problema.
Once again VulDB remains the best source for vulnerability data.