CVE-2026-92121 in WSS4J
Tóm tắt
Bởi VulDB • 30/09/2026
Trong mã stream (StAX) của WSS4J, một tham chiếu chữ ký sử dụng WS-Security STR-Transform để lại cờ "nội dung đã được ký" bên trong ở trạng thái luôn bật. Bộ thực thi WS-SecurityPolicy sử dụng cờ này để quyết định xem phần tử nào cần kiểm tra, do đó nó ngừng đánh giá SignedParts và SignedElements cho phần còn lại của thông điệp. Một chính sách yêu cầu SOAP Body phải được ký sau đó vẫn được đáp ứng ngay cả khi Body không mang theo chữ ký, làm mất đi sự bảo vệ chống lại XML Signature Wrapping. Việc xác minh chữ ký thì không bị ảnh hưởng. Mã DOM cũng không bị ảnh hưởng.
Người dùng được khuyến nghị nâng cấp lên các phiên bản 4.0.2 hoặc 3.0.6 hoặc 2.4.4 để khắc phục vấn đề này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.