« Volver al listado

CVE-2026-97791

Estado: En análisisSin puntuar—

En Apache CXF, STSTokenValidator comprueba si una aserción SAML está firmada por un certificado de confianza antes de decidir enviarla al STS. Ese resultado se almacenaba en un objeto compartido por todas las solicitudes, por lo que una solicitud podría leer el resultado de otra. Un atacante remoto no autenticado podría enviar una aserción falsificada firmada con un certificado que no es de confianza mientras se estuvieran procesando solicitudes legítimas, y podría ser aceptada como de confianza sin llegar nunca al STS. Solo los servicios que utilizan STSTokenValidator para validar tokens SAML sin alwaysValidateToSts configurado se ven afectados.

Leer descripción completaMostrar menos

Se recomienda a los usuarios que actualicen a las versiones 4.2.4, 4.1.9 o 3.6.13, que corrigen este problema.

Traducción automática del texto original de NVD (en inglés).

CVSS

NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — CXFAI

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-97791",
  "cveTags": [],
  "metrics": {},
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache CXF",
          "versions": [
            {
              "status": "affected",
              "version": "4.2.0",
              "lessThan": "4.2.4",
              "versionType": "semver"
            },
            {
              "status": "affected",
              "version": "4.0.0",
              "lessThan": "4.1.9",
              "versionType": "semver"
            },
            {
              "status": "affected",
              "version": "0",
              "lessThan": "3.6.13",
              "versionType": "semver"
            }
          ],
          "packageURL": "pkg:maven/org.apache.cxf/cxf-rt-ws-security",
          "packageName": "org.apache.cxf:cxf-rt-ws-security",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-09T11:17:03.380",
  "references": [
    {
      "url": "https://lists.apache.org/thread.html/ssdr417qgms9fjl0m8802xd8170wnk1l",
      "source": "security@apache.org"
    },
    {
      "url": "http://www.openwall.com/lists/oss-security/2026/10/09/10",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Undergoing Analysis",
  "descriptions": [
    {
      "lang": "en",
      "value": "In Apache CXF, STSTokenValidator checks whether a SAML assertion is signed by a trusted certificate before deciding to send it to the STS. That result was stored in one object shared by all requests, so one request could read another's result. A remote, unauthenticated attacker could send a forged assertion signed with an untrusted certificate while legitimate requests were being processed, and it could be accepted as trusted without ever reaching the STS. Only services that use STSTokenValidator to validate SAML tokens without alwaysValidateToSts set are affected. \nUsers are recommended to upgrade to versions 4.2.4 or 4.1.9 or 3.6.13, which fix this issue."
    }
  ],
  "lastModified": "2026-10-09T16:33:39.007",
  "sourceIdentifier": "security@apache.org"
}