Veille sécuritéBackend & données
P4Non déterminée
Dans le module OpenAPI d’Apache Axis2/Java 2.0.1, une valeur dérivée de l’en-tête Host était insérée sans encodage dans la page Swagger UI, permettant une injection de script dans l’origine Axis2. La version 2.0.2 corrige la faille ; mettre à niveau les installations concernées.
Java
IdentifiantCVE-2026-123766
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif2.0.2
Source : NVD — CVE-2026-123766
Analyse technique
La page Swagger UI produite par le module OpenAPI ne neutralisait pas correctement une valeur issue de l’en-tête Host.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-09 à 11:17:24.050Z, dans la période demandée ; l’événement retenu est la publication de l’information sur la vulnérabilité.
ImpactUn attaquant pouvait injecter un script exécuté dans le contexte de l’origine Axis2.
Versions affectéesApache Axis2/Java 2.0.1
Version corrigée2.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-09T11:17:24.050Z
Mise à jour2026-11-09T11:17:24.050Z
Détection / vérification
Vérifier si le module OpenAPI d’Axis2 2.0.1 est exposé et le mettre à niveau.
Action recommandée
Mettre à niveau Apache Axis2/Java vers 2.0.2.
Sources
Priorisation DFS : P4 · 1 source(s).