CVE-2026-65432

Data: 2026-08-07

Severity: High

CVSS Score: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

Nota

La severity e il CVSS Score si riferiscono alla vulnerabilità della libreria. Come descritto nella sezione GovWay, il prodotto non utilizza il percorso di lettura dei WSDL di Apache CXF, pertanto la vulnerabilità non si manifesta.

Riferimenti:

Libreria: org.apache.cxf:cxf-rt-wsdl (versioni affette: < 3.6.12, 4.0.0 - 4.1.7 e 4.2.0 - 4.2.2)

Descrizione

CWE-611: Improper Restriction of XML External Entity Reference

GovWay

La vulnerabilità risiede nel modulo cxf-rt-wsdl di Apache CXF ed è raggiungibile solamente quando è CXF a leggere un documento WSDL (WSDLManager/ServiceWSDLBuilder), delegando poi a WSDL4J la risoluzione dei documenti referenziati tramite wsdl:import ed xsd:import.

GovWay non utilizza tale percorso di codice:

  • gli endpoint SOAP esposti dal prodotto (IntegrationManager) sono pubblicati con Apache CXF in modalità code-first, a partire dalle annotazioni JAX-WS, senza indicazione di alcun wsdlLocation: CXF non legge quindi alcun documento WSDL esterno;

Per questi motivi la vulnerabilità non si manifesta nel prodotto. Si evidenzia inoltre che i documenti WSDL degli accordi di servizio sono caricati esclusivamente da utenti amministratori tramite la console di gestione o le API di configurazione, e non da soggetti non autenticati.

Nota

La vulnerabilità è segnalata dai tool di analisi delle dipendenze (es. OWASP dependency-check) a carico degli artefatti cxf-core e cxf-rt-transports-http-jetty, in quanto l’NVD associa le vulnerabilità di Apache CXF alla CPE di prodotto cpe:2.3:a:apache:cxf senza distinguere il singolo modulo Maven. Il codice vulnerabile risiede tuttavia nel modulo cxf-rt-wsdl.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: 3.3.21

  • 3.4.x: 3.4.4