Veille sécuritéBackend & données
P4Non déterminée
Apache Axis2/Java jusqu’à la version 2.0.1 ne restreignait pas correctement la résolution des entités XML externes lors du chargement d’un WSDL et de ses imports. La version 2.0.2 corrige la vulnérabilité; un WSDL contrôlé par un attaquant pouvait entraîner la lecture de fichiers locaux ou des requêtes réseau émises par la JVM.
Java
IdentifiantCVE-2026-120761
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif2.0.2
Source : NVD — CVE-2026-120761
Analyse technique
La résolution des importations wsdl:import et xsd:import par le parseur XML de wsdl4j traitait les déclarations DOCTYPE et les entités externes lors de la création d’un AxisService à partir d’une URL WSDL.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique la publication le 2026-11-09; la description précise le correctif 2.0.2, événement substantiel retenu dans la période.
ImpactUn WSDL contrôlé par un attaquant peut permettre la lecture de fichiers locaux ou provoquer des requêtes réseau depuis la JVM.
Versions affectéesApache Axis2/Java jusqu’à 2.0.1
Version corrigée2.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-09T11:17:21.857Z
Mise à jour2026-11-09T11:17:21.857Z
Action recommandée
Mettre à niveau vers Apache Axis2/Java 2.0.2 et ne pas charger de WSDL non fiables avec les versions affectées.
Sources
Priorisation DFS : P4 · 1 source(s).