Zaloguj się
Deutsch English Español Polski
Średnia

Apache CXF is vulnerable to DoS attacks as entire files are read into memory and logged

  • Ujawniono: 15.07.2025
  • Aktualizacja: 11.10.2026 13:20

Apache CXF stores large stream based messages as temporary files on the local filesystem. A bug was introduced which means that the entire temporary file is read into memory and then logged. An attacker might be able to exploit this to cause a denial of service attack by causing an out of memory exception. In addition, it is possible to configure CXF to encrypt temporary files to prevent sensitive credentials from being cached unencrypted on the local filesystem, however this bug means that the cached files are written out to logs unencrypted.

Users are recommended to upgrade to versions 3.5.11, 3.6.6, 4.0.7 or 4.1.1, which fixes this issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.cxf:cxf-core < 3.5.11, >= 3.6.0, < 3.6.6, >= 4.0.0, < 4.0.7, >= 4.1.0, < 4.1.1 3.5.11, 3.6.6, 4.0.7, 4.1.1

Odnośniki

Ocena CVSS 5.6/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
Słabość (CWE)
CWE-400
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.cxf:cxf-core
Ujawniono
15.07.2025
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-36wv-v2qp-v4g4 - CC BY 4.0

Historia podatności: org.apache.cxf:cxf-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (14) w archiwum
Wszystkich wpisów
14
Pierwsza → ostatnia
05.2022 06.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 2
  • Wysoka 5
  • Średnia 7

Ujawnienia w latach

Istotność:
  1. Apache cxf-core: No restriction on attachment headers per message
    Wysoka · 7.5 CVE-2026-50645 >= 4.2.0, < 4.2.2, >= 4.0.0, < 4.1.7, < 3.6.12 4.2.2, 4.1.7, 3.6.12
  2. Apache CXF has Improper Restriction of XML External Entity Reference
    Krytyczna · 9.8 CVE-2026-49875 >= 4.2.0, < 4.2.2, < 4.1.7 4.2.2, 4.1.7
  3. Apache CXF is vulnerable to DoS attacks as entire files are read into memory and logged ten wpis
    Średnia · 5.6 CVE-2025-48795 < 3.5.11, >= 3.6.0, < 3.6.6, >= 4.0.0, < 4.0.7, >= 4.1.0, < 4.1.1 3.5.11, 3.6.6, 4.0.7, 4.1.1
  4. Apache CXF: Denial of Service vulnerability with temporary files
    Wysoka · 7.5 CVE-2025-23184 < 3.5.10, >= 3.6.0, < 3.6.5, >= 4.0.0, < 4.0.6 3.5.10, 3.6.5, 4.0.6
  5. Apache CXF Server-Side Request Forgery vulnerability
    Krytyczna · 9.8 CVE-2022-46364 < 3.4.10, >= 3.5.0, < 3.5.5 3.4.10, 3.5.5
  6. Apache CXF vulnerable to Exposure of Sensitive Information
    Wysoka · 7.5 CVE-2022-46363 < 3.4.10, >= 3.5.0, < 3.5.5 3.4.10, 3.5.5
  7. Improper Restriction of XML External Entity Reference in Apache CXF JAX-RS
    Wysoka · 7.5 CVE-2016-8739 < 3.0.12, >= 3.1.0, < 3.1.9 3.0.12, 3.1.9
  8. Session Fixation in Apache CXF
    Wysoka · 7.5 CVE-2017-5656 >= 3.1.0, < 3.1.11, < 3.0.13 3.1.11, 3.0.13

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.