← לוח פגיעויות

CVE-2026-50631

גבוהה 7.4

תיאור (מקור, אנגלית)

A race condition in AbstractOAuthDataProvider allows concurrent requests using the same Refresh Token to bypass single-use semantics and generate multiple valid Access Tokens, when 'recycleRefreshTokens' is set to false. A leaked refresh token can be replayed concurrently by multiple attackers or threads. Users are recommended to upgrade to versions 4.2.2 or 4.1.7 or 3.6.12, which fixes this issue.

מדדים

CVSS 3.1
7.4 (HIGH) מקור הציון: CNA CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
EPSS — סבירות ניצול
0% (אחוזון 000) נכון ל-11/8/2026
CWE
CWE-367

מוצרים מושפעים

apache: cxf

קישורים