| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| cxf | ≥ 4.0.0, < 4.1.8≥ 4.2.0, < 4.2.3< 3.6.12 | 4.1.84.2.33.6.12 |
The OpenID Connect Core 1.0 specification mandates that the RP MUST validate the `c_hash` parameter when operating in the Hybrid Flow. If an Apache CXF RP is integrated with a non-compliant or misconfigured Identity Provider (IdP) that omits the `c_hash`, the RP becomes vulnerable to Authorization Code Substitution/Injection attacks. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン