CVE-2026-85532: falha de validação no Apache WSS4J
Aviso publicado em 30 de setembro de 2026 aponta validação insuficiente de parâmetros de chave derivada, com gravidade moderada e risco de chaves fracas ou consumo excessivo de CPU.
Um aviso do feed oss-sec, publicado em 30 de setembro de 2026 e apresentado em tradução automática, relata a CVE-2026-85532 no Apache WSS4J. A gravidade informada é moderada. O componente afetado é org.apache.wss4j:wss4j-ws-security-common, nas versões 4.0.0 anteriores à 4.0.2, 3.0.0 anteriores à 3.0.6 e 2.x anteriores à 2.4.4.
Segundo o aviso, comprimentos e deslocamentos de chaves derivadas controlados por invasores não eram submetidos a limites adequados, podendo resultar em chaves criptograficamente fracas ou consumo excessivo de CPU. O trecho fornecido termina antes de apresentar detalhes adicionais. Consulte o aviso original no feed oss-sec e confirme a versão, o impacto e as orientações de correção nos canais oficiais do projeto antes de agir.