Cyber ·
CVE-2026-123766: XSS no módulo OpenAPI do Apache Axis2/Java corrigido na versão 2.0.2
Advisory moderado sobre cross-site scripting na página Swagger UI do módulo OpenAPI do Apache Axis2/Java. O valor do cabeçalho Host era escrito na página sem codificação. Afeta a versão 2.0.1 e corrige-se na 2.0.2.
Foi divulgado em 6 de novembro de 2026, pela lista oss-sec, o identificador CVE-2026-123766, que trata de uma falha de neutralização inadequada de entrada na geração de páginas Web (Cross-site Scripting) no módulo OpenAPI do Apache Axis2/Java. A gravidade informada é moderada. As versões afetadas são o Apache Axis2/Java 2.0.1, anteriores à 2.0.2. Segundo o aviso, a página Swagger UI servida pelo módulo OpenAPI escrevia na página, sem codificação, um valor derivado do cabeçalho Host da requisição. Isso permitia injeção de script no contexto da origem do Axis2. O texto disponível na fonte é um resumo traduzido automaticamente e é truncado no final, por isso os detalhes completos devem ser conferidos no original, indicado na própria lista oss-sec e no site do projeto Apache. Para verificar a exposição, identifique se a aplicação usa o Axis2/Java 2.0.1 com o módulo OpenAPI habilitado e se a página Swagger UI está acessível. Depois de atualizar para a 2.0.2 ou versão posterior, confirme a versão em uso e repita o teste de acesso à página.
Fonte original: CVE-2026-123766: Apache Axis2/Java: XSS na página Swagger UI do módulo OpenAPI