CVE-2026-42253
Apache ActiveMQ, Apache ActiveMQ Web: HTTP Response Header Injection via JMS Message Properties
- Publicado
- 1 de jun. de 2026
- Atualizado
- 3 de jun. de 2026
- Atribuindo CNA
- apache
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NBaixo · próximos 30 dias
- Percentil
- 63,9%
- Data do modelo
- 21 de set. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Vulnerabilidade de Neutralização Incorreta de Entrada Durante a Geração de Páginas Web ('Cross-site Scripting') no Apache ActiveMQ e no Apache ActiveMQ Web. O MessageServlet na API do console web do ActiveMQ copia cada propriedade de mensagem JMS para um cabeçalho de resposta HTTP sem qualquer validação. Isso pode permitir a sobrescrita e a injeção de cabeçalhos de segurança ao defini-los em mensagens JMS retornadas pelo servlet. Este problema afeta o Apache ActiveMQ: versões anteriores a 5.19.7 e versões a partir de 6.0.0 e anteriores a 6.2.6; Apache ActiveMQ Web: versões anteriores a 5.19.7 e versões a partir de 6.0.0 e anteriores a 6.2.6. Recomenda-se que os usuários atualizem para a versão 5.19.7 ou 6.2.6, que corrige o problema. O MessageServlet agora foi descontinuado e desabilitado por padrão.
Fontes
1- apache-activemq-rce-researchPesquisa
Pesquisa de RCE no Apache ActiveMQ Classic: cadeia de bypass dos CVE-2026-34197 / CVE-2026-42588 + resultados da auditoria do hardened-6.2.6 + comparação com Crowdfense
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.