Cyber ·
CVE-2026-120832: SSRF no Apache Axis2/Java ao resolver importações WSDL e XSD
Versões do Apache Axis2/Java anteriores à 2.0.2 buscavam URLs absolutas de importações WSDL e XSD sem restrição de esquema ou host. O aviso, publicado no feed oss-sec em 6 de novembro de 2026, classifica a gravidade como moderada.
O aviso CVE-2026-120832 descreve uma falsificação de solicitação do lado do servidor (SSRF) no Apache Axis2/Java. Versões anteriores à 2.0.2 buscavam URLs absolutas nos locais wsdl:import, xsd:import e xsd:include sem restrição de esquema ou host. A falha aparece quando o Axis2 cria uma descrição de serviço a partir de um WSDL, por meio de ServiceClient, AxisService.createClientSideAxisService ou WSDLToAxisServiceBuilder. O texto informa gravidade moderada e foi publicado no feed oss-sec em 6 de novembro de 2026. Trata-se de tradução automática, e o conteúdo recebido está truncado, por isso detalhes adicionais não foram incluídos aqui.
A Rota Nacional não corrige bibliotecas de terceiros nem funciona como filtro de tráfego de saída. A correção está na atualização do Axis2 para a versão 2.0.2 ou posterior. Quem integra aplicações Java à plataforma por API deve lembrar que o controle sobre para onde a aplicação faz requisições HTTP é responsabilidade do próprio projeto. Para verificar a situação, consulte o aviso original no arquivo oss-sec de novembro de 2026 e confira a versão do Axis2 presente no build e nas dependências transitivas.