Cyber ·
CVE-2026-108946: ActiveMQ não valida se IDs de conexão fornecidos pelo usuário pertencem à conexão
Aviso do feed oss-sec, publicado em 3 de novembro de 2026, sobre falha de validação de entrada no broker Apache ActiveMQ e no KahaDB. A gravidade é classificada como importante e o texto lista as versões afetadas e corrigidas.
O aviso CVE-2026-108946 descreve uma falha de validação de entrada no Apache ActiveMQ e no Apache ActiveMQ KahaDB. Segundo o texto, o broker resolve estados de conexão, sessão e consumidor a partir de IDs fornecidos pelo usuário e, em alguns cenários, não verifica adequadamente se esses IDs estão vinculados à conexão correspondente. O conteúdo foi publicado por Christopher L. Shannon no feed oss-sec em 3 de novembro de 2026, com gravidade classificada como importante.
As versões afetadas indicadas são o Apache ActiveMQ 6.0.0 antes da 6.3.3 e o Apache ActiveMQ anterior à 5.19.12, com os mesmos intervalos para o ActiveMQ Broker. O texto disponível foi truncado antes da descrição completa dos cenários, então não é possível detalhar aqui outros impactos ou medidas de mitigação além das versões citadas. Para consultar o original, acesse o feed oss-sec pelo endereço de origem indicado na fonte e confira o texto integral e as recomendações do fornecedor.