CVE-2026-42253
Apache ActiveMQ, Apache ActiveMQ Web: HTTP-Response-Header-Injection über JMS-Nachrichteneigenschaften
- Veröffentlicht
- 01.06.2026
- Aktualisiert
- 03.06.2026
- CNA zuweisen
- apache
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NNiedrig · nächste 30 Tage
- Perzentil
- 63,9 %
- Modelldatum
- 21.09.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten ('Cross-site Scripting')-Schwachstelle in Apache ActiveMQ, Apache ActiveMQ Web. Der MessageServlet in der ActiveMQ-Webkonsole-API kopiert jede JMS-Message-Eigenschaft ohne jegliche Validierung in einen HTTP-Antwort-Header. Dies kann es ermöglichen, Sicherheits-Header zu überschreiben und einzuschleusen, indem sie auf JMS-Messages gesetzt werden, die vom Servlet zurückgegeben werden. Dieses Problem betrifft Apache ActiveMQ: vor 5.19.7, von 6.0.0 vor 6.2.6; Apache ActiveMQ Web: vor 5.19.7, von 6.0.0 vor 6.2.6. Benutzern wird empfohlen, auf Version 5.19.7 oder 6.2.6 zu aktualisieren, die das Problem behebt. Der MessageServlet wurde inzwischen veraltet und ist standardmäßig deaktiviert.
Quellen
1- apache-activemq-rce-researchForschung
Apache ActiveMQ Classic RCE Forschung: CVE-2026-34197 / CVE-2026-42588 Bypass-Kette + hardened-6.2.6 Prüfungsergebnisse + Crowdfense Vergleich
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.