CVE-2022-46364

CríticoPublicado

Vulnerabilidade SSRF no Apache CXF

Publicado: 13 de dez. de 2022
Atualizado: 22 de abr. de 2025
Atribuindo CNA: apache
Evidência observada: 8 de ago. de 2026

CVSS primário

9,8/ 10Crítico

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimativa de probabilidade EPSS

2,4%

Baixo · próximos 30 dias

Percentil: 82,9%
Data do modelo: 21 de set. de 2026

EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.

Resumo

Uma vulnerabilidade de SSRF na análise do atributo href de XOP:Include em requisições MTOM nas versões do Apache CXF anteriores a 3.5.5 e 3.4.10 permite que um atacante realize ataques do tipo SSRF em serviços web que aceitam pelo menos um parâmetro de qualquer tipo.

Fontes

CVE-2022-46364-pocPoC
CVE-2022-46364 Apache CXF XOP:Include SSRF / LFI
CVE-2022-46364PoC
Exploit de prova de conceito para CVE-2022-46364, uma vulnerabilidade de SSRF no Apache CXF que permite leitura arbitrária de arquivos e sondagem de redes internas por meio de requisições SOAP MTOM/XOP manipuladas.
CVE-2022-46364-Proof-of-the-conceptExploit
Esta vulnerabilidade permite que um atacante realize ataques de SSRF (Server-Side Request Forgery) em webservices Apache CXF que aceitam solicitações MTOM/XOP. O problema existe na forma como o atributo href de xop:Include é analisado, permitindo que URLs arbitrárias sejam solicitadas pelo servidor.

Uso responsável

Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.