远程主机上安装的 Apache CXF 版本低于 3.6.13，或为低于 4.1.9 的 4.x，或为低于 4.2.4 的 4.2.x。因此，该应用程序受到多个漏洞的影响，其中包括：

  - 由于毫秒/秒单位不匹配和比较极性反转，OidcClientCodeRequestFilter 中的max_age认证新鲜度检查不起作用。任何使用 setMaxAgeOffset 强制执行重新认证的依赖方都会静默接受任何年龄的会话，进而绕过逐步认证策略。（CVE-2026-71575）

  - Apache CXF 的 STSTokenValidator 和安全标记服务 （STS） 将经过验证的安全标记缓存在标记的非加密 32 位哈希下，并将缓存命中视为已验证所显示标记的证明。攻击者可构建一个哈希与缓存条目冲突的标记，然后无需密码验证、签名信任验证或调用 STS 即可接受该标记，从而允许攻击者认证为另一个用户。（CVE-2026-97468）

  - Netty HTTP 客户端传输未验证 TLS 证书主机名，从而允许网络中间人冒充目标服务。（CVE-2026-107938）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Apache CXF < 3.6.13 / 4.x < 4.1.9 / 4.2.x < 4.2.4 多个漏洞

critical Nessus 插件 ID 366460

版本 1.1