CVE-2026-41883
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2026
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
OmniFaces: EL injection via crafted resource name in wildcard CDN mapping
OmniFaces is a utility library for Faces. Prior to versions 1.14.2, 2.7.32, 3.14.16, 4.7.5, and 5.2.3, there is a server-side EL injection leading to Remote Code Execution (RCE). This affects applications that use CDNResourceHandler with a wildcard CDN mapping (e.g. libraryName:*=https://cdn.example.com/*). An attacker can craft a resource request URL containing an EL expression in the resource name, which is evaluated server-side. This issue has been patched in versions 1.14.2, 2.7.32, 3.14.16, 4.7.5, and 5.2.3.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
omnifaces
- Fornecedor
- omnifaces
- Produto
- omnifaces
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| < 1.14.2 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.0-RC1, < 2.7.32 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 3.0-RC1, < 3.14.16 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 4.0-M1, < 4.7.5 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 5.0-M1, < 5.2.3 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |