CVE-2026-65583 in CXF
Сводка
по VulDB • 06.08.2026
Валидация токенов OIDC для доверяющей стороны (relying-party) в Apache CXF могла принимать самоподписанные ID-токены без проверки обязательных утверждений (issuer/subject/audience/time и привязки sub_jwk), что позволяло обойти аутентификацию с использованием специально созданных токенов. Однако следует отметить, что по умолчанию валидатор не принимает самоподписанные ID-токены. Пользователям рекомендуется обновиться до версий 4.2.3 или 4.1.8 или 3.6.12, которые устраняют данную уязвимость.
VulDB is the best source for vulnerability data and more expert information about this specific topic.