Veille sécuritéBackend & données
P4Non déterminée
Apache Axis2/Java présentait une SSRF lors de la construction d’une description de service à partir d’un WSDL : les URL absolues dans les imports WSDL et schémas pouvaient provoquer des requêtes depuis le serveur. La version 2.0.2 corrige le problème ; mettre à niveau les installations concernées.
Java
IdentifiantCVE-2026-120832
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif2.0.2
Source : NVD — CVE-2026-120832
Analyse technique
Des locations absolues dans wsdl:import, xsd:import et xsd:include, ainsi que certains chemins de résolution au déploiement AAR/WAR, pouvaient déclencher des connexions vers des hôtes arbitraires.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-09 à 11:17:21.990Z, dans la période demandée ; l’événement retenu est la publication de l’information sur la vulnérabilité, et non une simple modification administrative.
ImpactUn document WSDL ou schéma contrôlé par un attaquant pouvait amener la JVM à envoyer des requêtes vers des hôtes internes ou externes.
Versions affectéesApache Axis2/Java jusqu’à 2.0.1 inclus
Version corrigée2.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-09T11:17:21.990Z
Mise à jour2026-11-09T11:17:21.990Z
Détection / vérification
Repérer les déploiements Apache Axis2/Java jusqu’à 2.0.1 et vérifier si des WSDL ou schémas non fiables peuvent être traités.
Action recommandée
Mettre à niveau Apache Axis2/Java vers 2.0.2.
Sources
Priorisation DFS : P4 · 1 source(s).