Cyber ·
CVE-2026-123753: SSRF no Apache Axis2/Java via endpoints WS-Addressing ReplyTo e FaultTo
Advisory publicado em 6 de novembro de 2026 sobre SSRF no Apache Axis2/Java anterior à versão 2.0.2, explorável sem autenticação por meio dos endereços WS-Addressing ReplyTo e FaultTo.
O advisory CVE-2026-123753, publicado por Robert Lazarski em 6 de novembro de 2026 no feed oss-sec e classificado com gravidade importante, descreve uma falha de Server-Side Request Forgery (SSRF) no Apache Axis2/Java. Estão afetadas as versões anteriores à 2.0.2. Segundo o texto, um solicitante não autenticado pode fornecer um endereço não anônimo nos cabeçalhos wsa:ReplyTo ou wsa:FaultTo. O Axis2 então abre uma conexão para esse endereço para entregar a resposta ou a falha. Com isso, é possível enviar solicitações a hosts internos e encaminhar o conteúdo da resposta a um host de destino. O texto disponível é uma tradução automática e está truncado; por isso, antes de concluir sobre o impacto em um ambiente específico, consulte o advisory original indicado no feed oss-sec e a documentação oficial do projeto Apache Axis2. Para verificar a exposição, identifique as aplicações que usam Axis2/Java e confirme a versão em uso.