CVE-2026-41883

Wysokie

Opublikowano: 08/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

OmniFaces, biblioteka narzędziowa dla Faces, przed wersjami 1.14.2, 2.7.32, 3.14.16, 4.7.5 i 5.2.3, zawiera podatność na wstrzykiwanie EL po stronie serwera, co prowadzi do zdalnego wykonania kodu (RCE). Atakujący może skonstruować URL żądania zasobu zawierający wyrażenie EL w nazwie zasobu, które jest oceniane po stronie serwera.

Ocena ryzyka

Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji. Atakujący może wykorzystać tę lukę do przejęcia kontroli nad systemem.

Rekomendacja

Zaleca się aktualizację do wersji 1.14.2, 2.7.32, 3.14.16, 4.7.5 lub 5.2.3, aby usunąć tę podatność. Należy również przeanalizować istniejące aplikacje pod kątem użycia CDNResourceHandler z dziką mapą CDN.

Inne podatności w OmniFaces

CVE-2026-102695Wysokie
W OmniFaces w wersjach przed 1.14.3, 2.7.33, 3.14.23, 4.7.12 i 5.4.2, CombinedResourceHandler akceptuje strukturalnie poprawne, zdeflowane i zakodowane w base64 połączone ID zasobu bez weryfikacji, czy zostało ono wydane przez serwer. Sfałszowane ID może spowodować nieograniczone wyjście po dekodowaniu, dodanie unikalnych zrekonstruowanych ID do cache'u o czasie życia procesu lub łączenie zasobów innych niż arkusze stylów i skrypty. Ponieważ jakarta.faces.RESOURCE_EXCLUDES nie jest stosowane przez tę niestandardową ścieżkę rozwiązywania, sfałszowane ID może ujawnić źródło Facelets z drzewa zasobów aplikacji webowej lub META-INF/resources. W konfiguracji z mapowaniem CDN z symbolem wieloznacznym, sfałszowane ID wybierające omnifaces.graphic może również spowodować ślepe, zależne od wdrożenia pobranie po stronie serwera, którego cel częściowo pochodzi z nagłówka Host żądania. Luka nie zapewnia dowolnego odczytu plików ani nie ustanawia SSRF o dowolnym schemacie lub celu. Wspólna awaria autentyczności pozwala na wyczerpanie pamięci i ograniczone ujawnienie zasobów.

Oryginalny opis (angielski, źródło NVD)

OmniFaces is a utility library for Faces. Prior to versions 1.14.2, 2.7.32, 3.14.16, 4.7.5, and 5.2.3, there is a server-side EL injection leading to Remote Code Execution (RCE). This affects applications that use CDNResourceHandler with a wildcard CDN mapping (e.g. libraryName:*=https://cdn.example.com/*). An attacker can craft a resource request URL containing an EL expression in the resource name, which is evaluated server-side. This issue has been patched in versions 1.14.2, 2.7.32, 3.14.16, 4.7.5, and 5.2.3.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS