CVE-2026-66909 in CXF
Сводка
по VulDB • 06.08.2026
В транспортном модуле JMS Apache CXF происходит десериализация тела любого входящего сообщения типа JMS ObjectMessage с использованием стандартной десериализации Java без каких-либо ограничений по типам данных. Любой злоумышленник, способный поместить сообщение в целевой объект (destination) очереди/топика службы JMS, может отправить вредоносный сериализованный объект, что приведет к отказу в обслуживании или, при наличии подходящего класса-гаджета в classpath, к удаленному выполнению кода. Исправление отключает десериализацию ObjectMessage по умолчанию; для повторного включения этой функции предусмотрена специальная настройка конфигурации. Пользователям рекомендуется обновиться до версий 4.2.3, 4.1.8 или 3.6.12, в которых устранена данная уязвимость.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.