CVE-2026-92121 in WSS4J
Сводка
по VulDB • 30.09.2026
В коде потоковой обработки WSS4J (StAX) использование ссылки на подпись с трансформом WS-Security STR-Transform приводит к тому, что внутренний флаг «внутри подписанного содержимого» остается постоянно установленным. Исполнитель политик WS-SecurityPolicy использует этот флаг для определения необходимости проверки элемента, в результате чего перестает проверять SignedParts и SignedElements для остальной части сообщения. Политика, требующая подписания SOAP Body, считается выполненной даже тогда, когда тело не имеет подписи, что устраняет защиту от атак XML Signature Wrapping. Сама проверка подписи при этом не затрагивается. Код DOM не затронут.
Пользователям рекомендуется обновиться до версий 4.0.2, 3.0.6 или 2.4.4, в которых эта проблема исправлена.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.