Activemq-web
Уязвимости
5
Эксплуатируемые
0
Макс. CVSS
8.8
Макс. EPSS
0.04783
Распределение по критичности
Критический
0
Высокий
3
Средний
2
Низкий
0
Затронутые диапазоны версий
< 5.19.3< 5.19.4< 5.19.6
Топ уязвимостей
CVE-2026-41044Неправильная валидация ввода, неправильный контроль генерации кода («Введение кода») в Apache ActiveMQ, Apache ActiveMQ Broker, Apache ActiveMQ All.
Аутентифицированный злоумышленник может использовать страницу админ-консоли для создания вредоносного имени брокера, которое обходит валидацию имени, чтобы включить привязку бобов, которая впоследствии может быть использована транспортом TM для загрузки удаленного приложения Spring XML.
Затем злоумышленник может использовать Bebean DestinationView для отправки сообщения, чтобы вызвать создание транспортного средства VM, которое будет ссылаться на это имя вредоносного брокера, которое может привести к загрузке вредоносного контекстного файла Spring XML.
Поскольку Spring's ResourceXmlApplicationContext инстанцирует все синглтонные бобы до того, как BrokerService подтвердит конфигурацию, произвольное выполнение кода происходит на JVM брокера с помощью методов производства бобов, таких как Runtime.exec().
Эта проблема затрагивает Apache ActiveMQ: до 5.19.6, с 6.0.0 до 6.2.5; Apache ActiveMQ Брокер: до 5.19.6, с 6.0.0 до 6.2.5; Apache ActiveMQ All: до 5.19.6, с 6.0.0 до 6.2.5.
Пользователям рекомендуется обновиться до версий 6.2.5 или 5.19.6, что устраняет проблему.
CVE-2026-40466Неправильная вводимая валидация, неправильное управление генерацией кода («Введение кода») в Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ.
Аутентифицированный злоумышленник может обойти исправление в CVE-2026-34197, добавив разъем с помощью передачи HTTP Discovery через BrokerView.addNetworkConnector или BrokerView.addConnector через Jolokia, если модуль активного mq-http находится на пути к классу.
Вредоносная конечные точки HTTP могут вернуть VM-транспорт через HTTP URI, который обойдет валидацию, добавленную в CVE-2026-34197. Затем злоумышленник может использовать параметр брокера VM TransportConfig для загрузки удаленного контекста приложения Spring XML с использованием ResourceXmlApplicationContext.
Поскольку Spring's ResourceXmlApplicationContext инстанцирует все синглтонные бобы до того, как BrokerService проверит конфигурацию, произвольное выполнение кода происходит на JVM брокера с помощью методов производства бобов, таких как Runtime.exec().
Эта проблема затрагивает Apache ActiveMQ Broker: до 5.19.6, с 6.0.0 до 6.2.5; Apache ActiveMQ All: до 5.19.6, с 6.0.0 до 6.2.5; Apache ActiveMQ: до 5.19.6, с 6.0.0 до 6.2.5.
Пользователям рекомендуется обновиться до версий 5.19.6 или 6.2.5, что устраняет проблему.
CVE-2026-39304Отказ в обслуживании через уязвимость Out of Memory в Apache ActiveMQ Client, Apache ActiveMQ Broker, Apache ActiveMQ.
Транспортные потоки ActiveMQ NIO SSL не правильно обрабатывают TLSv1.3 рукопожатие KeyUpdates, вызванное клиентами. Это позволяет клиенту быстро инициировать обновления, которые заставляют брокера исчерпать всю свою память в движке SSL, что приводит к DoS.
Примечание: версии TLS до TLSv1.3 (например, TLSv1.2) сломаны, но не уязвимы для OOM. Предыдущие версии TLS требуют полного пересмотра рукопожатия, что приводит к зависению соединения, но не OOM. Это также исправлено.
Эта проблема затрагивает Apache ActiveMQ Client: до 5.19.4, с 6.0.0 до 6.2.4; Apache ActiveMQ Брокер: до 5.19.4, с 6.0.0 до 6.2.4; Apache ActiveMQ: до 5.19.4, с 6.0.0 до 6.2.4.
Пользователям рекомендуется обновиться до версий 6.2.4 или 5.19.5, что устраняет проблему.
CVE-2026-41043Неправильная нейтрализация HTML-тегов, связанных со сценарием, в уязвимости веб-страницы (Basic XSS) в Apache ActiveMQ, Apache ActiveMQ Web.
Аутентифицированный злоумышленник может показывать вредоносный контент при просмотре очередей в веб-консоли, переопределяя тип контента, который должен быть HTML (вместо XML) и вводя HTML в поле селектора JMS.
Эта проблема затрагивает Apache ActiveMQ: до 5.19.6, с 6.0.0 до 6.2.5; Apache ActiveMQ Web: до 5.19.6, с 6.0.0 до 6.2.5.
Пользователям рекомендуется обновиться до версий 6.2.5 или 5.19.6, что устраняет проблему.
CVE-2026-33227Неправильная валидация и ограничение уязвимости имени пути по классу в
Клиент Apache ActiveMQ, Apache ActiveMQ Брокер, Apache ActiveMQ Все, Apache ActiveMQ Web, Apache ActiveMQ.
В двух случаях (при создании потребителя Stomp, а также просмотр сообщений в веб-консоли) аутентифицированный пользователь, предоставленный «ключевой» значением, может быть построен для пересечения пути из-за констатации пути. В результате приложение подвергается уязвимости загрузки ресурсов пути по пути, который потенциально может быть прикован вместе с другой атакой, чтобы привести к эксплуатации.
Эта проблема затрагивает Apache ActiveMQ Client: до 5.19.3, с 6.0.0 до 6.2.2; Apache ActiveMQ Брокер: до 5.19.3, с 6.0.0 до 6.2.2; Apache ActiveMQ All: до 5.19.3, с 6.0.0 до 6.2.2; Apache ActiveMQ Web: до 5.19.3, с 6.0.
Пользователям рекомендуется обновиться до версий 5.19.4 или 6.2.3, что устраняет проблему. Примечание: 5.19.3 и 6.2.2 также исправляют эту проблему, но это ограничивается средами, не отключающимися от Windows, из-за ошибки разрешения сепаратора, исправленной в 5.19.4 и 6.2.3.