CVE-2026-57819

Data: 2026-08-07

Severity: High

CVSS Score: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

Riferimenti:

• https://nvd.nist.gov/vuln/detail/CVE-2026-57819

• https://cxf.apache.org/security-advisories.data/CVE-2026-57819.txt

Libreria: org.apache.cxf:cxf-rt-frontend-jaxrs (versioni affette: < 3.6.12, 4.0.0 - 4.1.7 e 4.2.0 - 4.2.2)

Descrizione

CWE-400: Uncontrolled Resource Consumption

Apache CXF allows to set a limit on the number of form parameters in a JAX-RS message via the «maxFormParameterCount» configuration option. However, no default limit is set which may lead to denial of service attacks when processing requests with very large numbers of form parameters. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue by using a default limit of 500 parameters.

GovWay

La vulnerabilità risiede nel frontend JAX-RS di Apache CXF (modulo cxf-rt-frontend-jaxrs) ed è raggiungibile solamente quando una risorsa JAX-RS elabora il corpo di una richiesta application/x-www-form-urlencoded, ovvero quando il metodo dichiara parametri di tipo @FormParam, Form o MultivaluedMap, facendo così intervenire il componente di parsing dei parametri form di CXF.

Apache CXF viene utilizzato da GovWay come frontend JAX-RS unicamente per le API di configurazione e monitoraggio (govway_api_config e govway_api_monitor): tali API, definite dai relativi contratti OpenAPI, non espongono alcuna risorsa che accetti contenuti application/x-www-form-urlencoded, operando esclusivamente su rappresentazioni JSON. Nessun metodo delle interfacce JAX-RS del prodotto dichiara parametri di tipo @FormParam, Form o MultivaluedMap; il percorso di codice vulnerabile non viene quindi mai attivato.

I messaggi applicativi trattati dal Gateway non sono invece elaborati da Apache CXF: le richieste in ingresso verso erogazioni e fruizioni sono gestite dalle servlet proprie del prodotto e, nel caso di contenuti application/x-www-form-urlencoded, un apposito filtro (FormUrlEncodedFilter) impedisce che il corpo della richiesta venga interpretato come form dall’application server, preservandone lo stream per l’elaborazione del Gateway.

Per questi motivi la vulnerabilità non si manifesta nel prodotto.

Versione affette:

• 3.3.x: <= 3.3.20

• 3.4.x: <= 3.4.3

Risoluzione:

• 3.3.x: 3.3.21

• 3.4.x: 3.4.4