CVE-2019-12419

Опубликовано: 06 нояб. 2019

Источник: nvd

CVSS3: 9.8

CVSS2: 7.5

EPSS Средний

Описание

Apache CXF before 3.3.4 and 3.2.11 provides all of the components that are required to build a fully fledged OpenId Connect service. There is a vulnerability in the access token services, where it does not validate that the authenticated principal is equal to that of the supplied clientId parameter in the request. If a malicious client was able to somehow steal an authorization code issued to another client, then they could exploit this vulnerability to obtain an access token for the other client.

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*

Версия от 3.2.0 (включая) до 3.2.11 (исключая)

cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*

Версия от 3.3.0 (включая) до 3.3.4 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:oracle:commerce_guided_search:11.3.2:*:*:*:*:*:*:*

cpe:2.3:a:oracle:enterprise_manager_base_platform:13.2.1.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:flexcube_private_banking:12.0.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:flexcube_private_banking:12.1.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:retail_order_broker:15.0:*:*:*:*:*:*:*

EPSS

Процентиль: 95%

0.17995

Средний

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

CWE-863

Связанные уязвимости

CVE-2019-12419

CVSS3: 8.1

redhat

больше 6 лет назад

GHSA-cw6w-q88j-6mqf

CVSS3: 9.8

github

около 6 лет назад

Potential session hijack in Apache CXF

BDU:2020-00858

CVSS3: 9.8

fstec

около 6 лет назад

Уязвимость службы OpenId Connect каркаса для веб-сервисов Apache CXF, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

EPSS

Процентиль: 95%

0.17995

Средний

9.8 Critical

CVSS3

7.5 High

CVSS2

Дефекты

CWE-863