CVE-2026-123766 Cross-site scripting (XSS) en la página Swagger UI del módulo OpenAPI de Apache Axis2/Java

Afectados

• Apache Software Foundation Apache Axis2/Java

  desde 2.0.1 hasta antes de 2.0.2

Qué hacer

1. Verificá si usás Apache Axis2/Java y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Descripción original

Improper Neutralization of Input During Web Page Generation (Cross-site Scripting) vulnerability in the OpenAPI module of Apache Axis2/Java. The Swagger UI page served by the OpenAPI module wrote a value derived from the request's Host header into the page without encoding, allowing script injection in the context of the Axis2 origin. This issue affects Apache Axis2/Java: 2.0.1. Users are recommended to upgrade to version 2.0.2, which fixes the issue.

Referencias (4)

• axis.apache.org/axis2/java/core/release-notes/2.0.2.html
• github.com/apache/axis-axis2-java-core/commit/1671a68660df39459bf22f7b00309e2a8e782117
• lists.apache.org/thread.html/gzxdd4gobm1kb0jdonmn4n8xhjkwlrbg
• www.openwall.com/lists/oss-security/2026/11/06/24

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.