Divulgation de métadonnées de services dans Apache Axis2/Java

Veille sécuritéBackend & données

P4Non déterminée

Dans Apache Axis2/Java jusqu’à 2.0.1, le paramètre désactivant l’exposition des métadonnées ne protégeait pas plusieurs routes et endpoints, qui pouvaient encore révéler des informations à des appelants anonymes. La version 2.0.2 corrige ces accès ; mettre à niveau les installations concernées.

IdentifiantCVE-2026-123779

GravitéNon déterminée

Exploitationnon connue / non déterminée

Correctif2.0.2

Source : NVD — CVE-2026-123779

Analyse technique

Les divulgations concernaient notamment des fichiers WSDL/XSD, des endpoints OpenAPI, Swagger UI et MCP, la liste des services, WS-MetadataExchange GetMetadata et le module ping.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-09 à 11:17:24.310Z, dans la période demandée ; l’événement retenu est la publication de l’information sur la vulnérabilité.

ImpactDes appelants anonymes pouvaient consulter des noms d’opérations et des schémas de requête et de réponse malgré la désactivation configurée.

Versions affectéesApache Axis2/Java jusqu’à 2.0.1 inclus

Version corrigée2.0.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-11-09T11:17:24.310Z

Mise à jour2026-11-09T11:17:24.310Z

Détection / vérification

Vérifier si les services Axis2 dont les métadonnées sont désactivées exposent encore les routes de métadonnées mentionnées.

Action recommandée

Mettre à niveau Apache Axis2/Java vers 2.0.2 ; vérifier les métadonnées exposées sur les services concernés.

Sources

NVD — CVE-2026-123779

Priorisation DFS : P4 · 1 source(s).