CVE-2026-61466

Les serveurs Apache CXF utilisant le point de terminaison d'enregistrement dynamique des clients OAuth2 sont affectés par une faille qui ne valide pas les permissions demandées. Un attaquant non authentifié peut envoyer une requête réseau pour enregistrer un nouveau client et s'attribuer des domaines de portée (scopes) privilégiés, s'octroyant potentiellement un accès non autorisé à des données protégées ou à des fonctions du système. Cette exploitation est simple à exécuter car elle ne nécessite ni identifiants préalables ni interaction de l'utilisateur.