CVE-2026-90436

Apache Axis 1.x (đã hết hỗ trợ): khởi tạo lớp không xác thực từ xa thông qua lỗi SOAP exceptionName

** KHI GIAO DỊCH ĐƯỢC GAN ** Deserialization của một lỗi SOAP nhập vào trong Apache Axis 1.x cho phép khởi tạo lớp không xác thực từ xa. Khi một SOAP <Fault> mang theo một <detail><exceptionName> element, Axis tải lớp được chỉ định và, nếu có một element <data> là String, khởi tạo nó thông qua constructor String trước khi kiểm tra xem nó có phải là AxisFault hay không. Việc tải lớp đơn độc chạy static initializer của lớp. Với một lớp thích hợp trên đường dẫn lớp của ứng dụng, điều này dẫn đến thực thi mã từ xa. Lỗi được phân tích khi động cơ giải quyết dịch vụ đích, trước khi bất kỳ chuỗi xử lý dịch vụ nào chạy, nên các tay nghề xác thực được cấu hình trên dịch vụ không bảo vệ chống lại nó. Điều này ảnh hưởng đến tất cả các phiên bản Apache Axis 1.x từ 1.0 đến 1.4.

CNA cấp mã

apache

Ngày công bố

06/11/2026

Cập nhật

11/11/2026

CVSS (NVD)

9.8 · CRITICAL

Loại lỗi (CWE)

CWE-470

EPSS (FIRST)

1.13% khả năng bị khai thác trong 30 ngày