「Apache CXF」に複数の脆弱性 - 修正版が公開

さらに重要度が「中（Moderate）」とされる認証回避の脆弱性「CVE-2026-50623」や、過去に対応した「CVE-2026-44417」の修正が不十分なことに起因する「JNDIインジェクション」の脆弱性「CVE-2026-50632」などに対応。

特定の構成においてリフレッシュトークンの同時利用により複数のアクセストークンを作成できる「CVE-2026-50631」やサービス拒否の脆弱性「CVE-2026-50645」など、重要度「低（Low）」とされる4件についても解消した。

一方、今回判明した「CVE-2026-50632」「CVE-2026-50633」について、GitHubでは共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、「クリティカル（Critical）」とするなど、一部評価がわかれている。

開発チームでは現地時間2026年6月10日、これら脆弱性を修正した「同4.2.2」「同4.1.7」をリリース。アップデートを呼びかけている。今回のアップデートで修正された脆弱性は以下のとおり。

CVE-2026-49875
CVE-2026-50623
CVE-2026-50627
CVE-2026-50628
CVE-2026-50629
CVE-2026-50630
CVE-2026-50631
CVE-2026-50632
CVE-2026-50633
CVE-2026-50634
CVE-2026-50645

（Security NEXT - 2026/06/15 ）ツイート

「Apache CXF」に複数の脆弱性 - 修正版が公開

関連リンク

PR

関連記事