CVE-2026-50627: Apache CXF: validação ausente do claim aud em JWT no validador de access token OAuth2
A CVE-2026-50627 afeta a classe JwtAccessTokenValidator do Apache CXF, que, segundo o registro, não valida o claim 'aud' (Audience) de tokens de acesso JWT recebidos. Isso pode permitir que um token emitido para um Resource Server seja aceito por outro, possibilitando ataques de confusão ou roteamento de tokens. O registro classifica a severidade como crítica (CVSS 9.1 pela NVD) e recomenda atualizar para 4.2.2, 4.1.7 ou 3.6.12; não há exploração confirmada nas fontes consultadas.
Visão geral
A Apache publicou em 2026-06-12 a CVE-2026-50627 para a classe JwtAccessTokenValidator, que, segundo o registro, não valida o claim 'aud' (Audience) de tokens de acesso JWT recebidos. O registro está classificado como crítico, com pontuação CVSS 9.1 pela NVD. Mais contexto está na thread da lista de discussão da Apache e na entrada da NVD.
Impacto
Segundo a descrição, um JWT emitido para um Resource Server pode ser aceito por outro Resource Server. A descrição associa isso a ataques de confusão e de roteamento de tokens.
- Confirmado: a verificação de audience é descrita como ausente no validador.
- Inferência: implantações em que um mesmo provedor de identidade emite tokens para vários servidores de recursos são as mais expostas a esse tipo de confusão.
- Desconhecido: o registro não descreve quais dados ou operações poderiam ser acessados em um ambiente específico.
Produtos e versões afetados
O registro lista Apache Software Foundation Cxf com estas faixas: antes de 3.6.12; de 4.0.0 antes de 4.1.7; antes de 4.1.7; e de 4.2.0 antes de 4.2.2.
- Confirmado: a descrição recomenda atualizar para 4.2.2, 4.1.7 ou 3.6.12.
- Inferência: cada linha de versão listada parece ter sua correção na versão que encerra sua faixa.
- Desconhecido: o registro não indica uma versão corrigida para a linha 4.0.x; a faixa listada para ela termina em 4.1.7.
Status de exploração
O campo do catálogo KEV da CISA é falso para este registro, portanto não há exploração ativa confirmada aqui. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro SSVC indica exploração como none e automatizável como no. A probabilidade EPSS é 0.00776, com percentil 0.55334.
Correção e mitigação
- Atualize o Apache CXF para a versão corrigida da sua linha, conforme as faixas afetadas acima.
- Se você usa pacotes de distribuição, consulte o aviso do fornecedor, como o errata da Red Hat RHSA-2026:37390, para a correção empacotada.
- Quando a atualização não for imediata, revise como seus servidores de recursos validam o audience em tokens JWT de acesso e restrinja a aceitação aos tokens emitidos para aquele servidor.
Orientação para detecção
- Revise os logs de autenticação de cada servidor de recursos em busca de tokens de acesso cujo audience não corresponda ao identificador daquele servidor.
- Verifique se algum código personalizado de validação JWT no seu ambiente contorna a verificação padrão de audience.
Limitações das informações disponíveis
O título menciona validação de issuer, mas a descrição fala apenas do claim de audience. Não é possível saber pelo registro se a validação de issuer também é afetada. O registro não traz entradas de correção, deixa o nome da CWE-289 nulo e não contém detalhes técnicos além da descrição.
Perguntas frequentes
Qual é o problema central da CVE-2026-50627?
Segundo o registro, a classe JwtAccessTokenValidator do Apache CXF não valida o claim 'aud' (Audience) de tokens de acesso JWT recebidos, então um token emitido para um servidor de recursos pode ser aceito por outro.
Quais versões o registro recomenda?
A descrição recomenda atualizar para 4.2.2, 4.1.7 ou 3.6.12, conforme a linha de versão em uso.
Há exploração conhecida desta vulnerabilidade?
Não. O campo KEV é falso para este registro e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.