Cyber ·
CVE-2026-120761: XXE no Apache Axis2/Java por documentos WSDL/XSD importados
Advisório de injeção XXE no Apache Axis2/Java anterior à versão 2.0.2, publicado no feed oss-sec em 6 de novembro de 2026 com gravidade classificada como importante. A descrição recebida está incompleta.
O advisório CVE-2026-120761 descreve uma falha de restrição inadequada de referência a entidade externa XML no Apache Axis2/Java. Estão afetadas as versões anteriores à 2.0.2. Segundo o texto recebido, quando um cliente cria um AxisService a partir de uma URL WSDL, por meio de ServiceClient ou AxisService.createClientSideAxisService, a resolução de importações do wsdl4j estava habilitada. Os documentos indicados por wsdl:import e xsd:import eram analisados pelo próprio parser XML do wsdl4j. A descrição recebida é cortada nesse ponto, portanto o mecanismo completo, o impacto exato e eventuais mitigações não podem ser confirmados a partir desta cópia. Para verificar, consulte o registro original no arquivo oss-sec de novembro de 2026, buscando pelo identificador do CVE, e a página oficial do projeto Apache Axis2. Equipes que consomem serviços SOAP com código cliente baseado em Axis2 devem verificar a versão em uso e planejar a atualização para a 2.0.2 ou superior.
Fonte original: CVE-2026-120761: injeção XXE no Apache Axis2/Java por documentos WSDL/XSD importados