CVE-2026-50627
Publiée le 2026-06-12 · Dernière modification le 2026-10-26
Les serveurs Apache CXF utilisant des jetons d'accès JWT sont concernés s'ils ne valident pas explicitement la revendication « audience ». Un attaquant disposant d'un jeton valide pour un service peut rejouer ce jeton pour obtenir un accès non autorisé complet à un autre service exécutant CXF. Cela nécessite un accès réseau et l'existence préalable d'un compte à hauts privilèges sur un autre serveur approuvé, mais aucune interaction de l'utilisateur n'est requise pour exécuter l'attaque.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The JwtAccessTokenValidator class in Apache CXF fails to validate the 'aud' (Audience) claims of incoming JWT access tokens. This allows a JWT issued for one Resource Server to be successfully replayed against a completely different Resource Server, leading to Token Confusion/Routing attacks. Users are recommended to upgrade to versions 4.2.2 or 4.1.7 or 3.6.12, which fixes this issue.