Apache CXF: JwtRequestCodeFilter silently overrides outer PKCE and nonce parameters
CVSS Skor
9.1
EPSS İhtimal
%0.3
Risk Skoru
0.0
Yayın
2 ay önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
CVE AI araştırması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
2
Kaynak uyumu
Tam uyum
Kanıt güveni
%61
Kısa açıklama
Apache CXF'nin JwtRequestCodeFilter, JWT tabanlı yetkilendirme akışlarında PKCE ve nonce parametrelerini sessizce değiştirir. Geçerli imzalı JWT erişimine sahip bir istemci, bu değerleri değiştirerek PKCE ve OpenID Connect korunmasını zayıflatır. Etkilenen sürümler 4.2.0 < 4.2.3, 4.0.0 < 4.1.8 ve 0 < 3.6.12'dir. Onarım, 4.2.3, 4.1.8 veya 3.6.12 sürümlerine yükseltme gerektirir.
Bu ele geçirme, atakçıların authorization akışında kritik parametreleri değiştirerek PKCE'yi geçiş ve tekrar saldırılarını yapmasını sağlar, yetkilendirme bütünlüğü ve kullanıcı oturum güvenliği üzerinde etki yaratır. Bu, işletmelerde yaygın olarak kullanılan OpenID Connect uygulamalarına etki eder.
Ne yapılmalı?
- Apache CXF 4.2.3, 4.1.8 veya 3.6.12 sürümüne güncelleştirin
- Düzenlemeyi sürüm-specific yönergelerle takip edin
- JWT claim'lerinde client_secret'in dışarıya aktarılmasını önleyin
Kaynaklar bazı teknik koşulları sınırlı ayrıntıyla sunuyor. Uygulama kararından önce aşağıdaki kanıt zincirini inceleyin.
Kanıt zinciri ve kaynaklar
Apache CXF'nin JwtRequestCodeFilter, bir imzalı istek JWT'den tüm claim'leri, güvenlik hassas parametreleri hariç olmaksızın, yetkili parametre haritasına kopyalar. Bir istemci, geçerli imzalı JWT üretme yetkisine sahipse, PKCE ve nonce değerlerini değiştirerek PKCE bütünlüğünü ve OpenID Connect tekrar korumasını zayıflatabilir.
Bu ele geçirme, Apache CXF 4.2.0'dan 4.2.3'e, 4.0.0'dan 4.1.8'e ve 0'dan 3.6.12'ye kadar olan sürümlerde etkili olup, mevcut kanıtta belirtilen bir düzeltme sürümü yoktur.
Bu ele geçirme, CVE-2026-63687 ve cvelist kaynaklarında açıklanmış ve daha fazla bilgi için Apache e-posta listesi temasına işaret edilmiştir.
Kaynaklardaki teknik metni göster
Apache CXF's JwtRequestCodeFilter copies all claims from a signed request JWT into the authorization parameter map without excluding security-sensitive parameters. A client that can produce a validly-signed request JWT (e.g., one whose client_secret is known or compromised) can thereby substitute the code_challenge, code_challenge_method, nonce, and state values that were set in the outer HTTP request, undermining PKCE integrity and OpenID Connect replay protection. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.
CVSS vektörü: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE: CWE-345
Açıklama yerel qwen3:4b-instruct modeliyle üretildi. Sayısal metrikler, KEV, yama ve exploit durumları AI tarafından belirlenmez.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2026-63687 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 9.1 | CVSS V3_1 | CRITICAL | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | CVE ADP |
| 9.1 | CVSS V31 | CRITICAL | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N | NVD |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-63687 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-63687 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
CVSS Vektör Radar Grafiği
9.1 / 10Vulnerability Scoring Details
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NYama durumu bilinmiyor
Zafiyet Türü (CWE & CAPEC)
İlgili Benzer Açıklar
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.daybreach.dev/api/v1/intel/cves/CVE-2026-63687"