Vulnerabilidad en Apache CXF de Apache Software Foundation (CVE-2026-50634)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
12/06/2026
Última modificación:
05/11/2026
Descripción
Una vulnerabilidad en el JwsJsonContainerRequestFilter de Apache CXF puede ser explotada para hacer que CXF procese metadatos que no fueron autenticados por la firma aceptada. Esto puede eludir la suposición de la aplicación de que los metadatos de ’Content-Type’ aceptados o de encabezado HTTP protegido provenían de una entrada de firma verificada, y puede dirigir el análisis de entidades JAX-RS posterior o las comprobaciones de coherencia de encabezados firmados. Se recomienda a los usuarios actualizar a las versiones 4.2.2 o 4.1.7, que solucionan este problema.
Impacto
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:* | 3.6.12 (excluyendo) | |
| cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:* | 4.0.0 (incluyendo) | 4.1.7 (excluyendo) |
| cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:* | 4.2.0 (incluyendo) | 4.2.2 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página