CVE-2026-68079

Apache CXF: wielokrotne użycie kodu autoryzacyjnego OAuth (CWE-294)

CVSS 9.8v3.1pub. 2026-08-06upd. 2026-08-07

Podatność w komponencie DefaultEncryptingCodeDataProvider biblioteki Apache CXF umożliwia wielokrotne wykorzystanie przechwyconego kodu autoryzacyjnego OAuth 2.0. Jest to krytyczna wada naruszająca wymogi RFC, która może prowadzić do nieautoryzowanego przejęcia dostępu do chronionych zasobów.

▸ Pokaż oryginał (EN)

In Apache CXF's DefaultEncryptingCodeDataProvider, a captured authorization code can be redeemed an unlimited number of times due to a flaw in the implementation of the removeCodeGrant functionality. This violates the RFC requirement that "The authorization code MUST NOT be used more than once." Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.

🤖 Analiza AI

Jak działa

Błąd tkwi w implementacji metody removeCodeGrant w klasie DefaultEncryptingCodeDataProvider — po pierwszym zrealizowaniu kodu autoryzacyjnego nie jest on prawidłowo unieważniany. W efekcie atakujący, który przechwycił ważny kod autoryzacyjny (np. poprzez podsłuchanie komunikacji lub dostęp do logów), może go wielokrotnie wymienić na token dostępowy. Narusza to bezpośrednio wymóg standardu OAuth 2.0 (RFC), zgodnie z którym każdy kod autoryzacyjny może być użyty wyłącznie jeden raz.

Skutki

Atakujący dysponujący przechwyconym kodem autoryzacyjnym może wielokrotnie uzyskiwać tokeny dostępowe i w konsekwencji uzyskać nieautoryzowany dostęp do chronionych zasobów — potencjalnie naruszając poufność, integralność i dostępność danych (CVSS C:H/I:H/A:H).