Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi s nízkými oprávněními je kvůli nesprávnému výchozímu nastavení oprávnění v autorizaci Jolokia umožněno provádět administrační operace správy brokeru, jako je addQueue a removeQueue [1].

Zranitelnost se nachází v produktu:

• Apache ActiveMQ; <5.19.7; >=6.0.0, <6.2.6

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2026-49157 na cve.org, NVD
• CWE-276: Incorrect Default Permissions na cwe.mitre.org

Zranitelnost byla veřejně oznámena 31. 5. 2026.

Neautentizovanému vzdálenému útočníkovi je kvůli chybějícímu ověření autentizace při zpracování příkazu BrokerInfo umožněno získat seznam trvalých (durable) odběrů témat, včetně identifikátorů klientů, názvů odběrů, cílových témat a JMS selektorů [2].

Zranitelnost se nachází v produktech:

• Apache ActiveMQ; >=5.14.0, <5.19.7; >=6.0.0, <6.2.6
• Apache ActiveMQ All; >=5.14.0, <5.19.7; >=6.0.0, <6.2.6
• Apache ActiveMQ Broker; >=5.14.0, <5.19.7; >=6.0.0, <6.2.6

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

• CVE-2026-49270 na cve.org, NVD
• CWE-1230: Exposure of Sensitive Information Through Metadata na cwe.mitre.org

Zranitelnost byla veřejně oznámena 31. 5. 2026.