Aller au contenu
Se connecter
6.5 Moyenne

CVE-2026-19610 Wildfly-platform-mbean: wildfly-platform-mbean: rbac sensitive attribute read bypass for platform runtimemxbean

Description

A flaw was found in the platform-mbean component of JBoss EAP, which provides management access to JVM-level metrics and configurations. The issue occurs because the handler for the read-resource operation on the runtime management resource fails to perform required Role-Based Access Control (RBAC) checks. This allows an authenticated user with low-privileged access, such as the Monitor role, to view sensitive system properties and JVM configuration details that should be restricted.

Détail CVSS 3.1

Vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Exploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque
Réseau
Complexité
Faible
Privilèges requis
Faibles
Interaction
Aucune
Portée
Inchangée
Confidentialité
Élevé
Intégrité
Aucun
Disponibilité
Aucun

Produits et versions touchés

Produit Versions touchées Corrigé en
Red Hat JBoss Enterprise Application Platform 7 Versions non publiées
Red Hat JBoss Enterprise Application Platform 8 Versions non publiées
Red Hat JBoss Enterprise Application Platform Expansion Pack Versions non publiées
Red Hat Single Sign-On 7 Versions non publiées
Red Hat JBoss Enterprise Application Platform 8.1 Versions non publiées

Autres CVE de Red Hat JBoss Enterprise Application Platform 7

Les 168 CVE de Red Hat JBoss Enterprise Application Platform 7 →
CVE-2026-96453 Org.keycloak/keycloak-admin-cli: keycloak-admin-cli: kcadm custom truststore accepts arbitrary self-signed certificates 8.0 Élevée CVE-2026-93998 Keycloak-core: keycloak-core: saml adapter does not bind signed assertions to the configured identity provider issuer 7.4 Élevée CVE-2026-91920 Undertow: undertow: chunkreader message length permits chunk-size overflow 6.5 Moyenne CVE-2026-114488 Wildfly: wildfly-iiop: wildfly-ejb3: wildfly: authentication bypass on iiop ejb invocations as csiv2 ittprincipalname accepted without transport binding 7.4 Élevée
Suivre cette CVE