CVE-2026-65432

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-65432
Apache CXF reads a top-level WSDL through its hardened StaxUtils path, which disables XML DTDs and external entities. However, any <wsdl:import> or <xsd:import> referenced from that top-level WSDL is handed off to WSDL4J, which does not disable DOCTYPE declarations or external entities. As a result, the protections applied to the top-level document do not extend to imported documents, leaving imported WSDL/XSD content vulnerable to XML External Entity (XXE) attacks. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.

7.5 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 3.6

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact NONE

Availability Impact NONE

Scope UNCHANGED

References
Link Resource
https://lists.apache.org/thread/5qs207krzg51jl3zs3cvnl5lt9njp8c3 Mailing List Vendor Advisory
http://www.openwall.com/lists/oss-security/2026/08/06/17
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*
cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*
cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*
History

24 Oct 2026, 16:10

Type Values Removed Values Added
Summary (es) Apache CXF lee un WSDL de nivel superior a través de su ruta StaxUtils reforzada, que deshabilita los DTD XML y las entidades externas. Sin embargo, cualquier <wsdl:import> o <xsd:import> referenciado desde ese WSDL de nivel superior se entrega a WSDL4J, que no deshabilita las declaraciones DOCTYPE ni las entidades externas. Como resultado, las protecciones aplicadas al documento de nivel superior no se extienden a los documentos importados, dejando el contenido WSDL/XSD importado vulnerable a ataques de entidad externa XML (XXE). Se recomienda a los usuarios actualizar a las versiones 4.2.3 o 4.1.8 o 3.6.12, que solucionan este problema. (es) Apache CXF lee un WSDL de nivel superior a través de su ruta StaxUtils reforzada, que deshabilita los DTD XML y las entidades externas. Sin embargo, cualquier menor quewsdl:importmayor que o menor quexsd:importmayor que referenciado desde ese WSDL de nivel superior se entrega a WSDL4J, que no deshabilita las declaraciones DOCTYPE ni las entidades externas. Como resultado, las protecciones aplicadas al documento de nivel superior no se extienden a los documentos importados, dejando el contenido WSDL/XSD importado vulnerable a ataques de entidad externa XML (XXE). Se recomienda a los usuarios actualizar a las versiones 4.2.3 o 4.1.8 o 3.6.12, que solucionan este problema.

23 Oct 2026, 21:10

Type Values Removed Values Added
Summary
  • (es) Apache CXF lee un WSDL de nivel superior a través de su ruta StaxUtils reforzada, que deshabilita los DTD XML y las entidades externas. Sin embargo, cualquier <wsdl:import> o <xsd:import> referenciado desde ese WSDL de nivel superior se entrega a WSDL4J, que no deshabilita las declaraciones DOCTYPE ni las entidades externas. Como resultado, las protecciones aplicadas al documento de nivel superior no se extienden a los documentos importados, dejando el contenido WSDL/XSD importado vulnerable a ataques de entidad externa XML (XXE). Se recomienda a los usuarios actualizar a las versiones 4.2.3 o 4.1.8 o 3.6.12, que solucionan este problema.
Information

Published : 2026-08-06 11:16

Updated : 2026-10-24 16:10

NVD link : CVE-2026-65432

Mitre link : CVE-2026-65432

CVE.ORG link : CVE-2026-65432

JSON object : View

Products Affected

apache

  • cxf
CWE
CWE-611

Improper Restriction of XML External Entity Reference