CVE-2026-102460

Nome do Software Vulnerável e Versões Afetadas Eclipse Vert.x versões 4.0.0 até 4.5.34 Eclipse Vert.x versões 5.0.0 até 5.0.12 Eclipse Vert.x versões 5.1.0 até 5.1.9 Eclipse Vert.x versão 5.2.0

Description Existe uma falha de bypass de escopo no ChainAuthHandler do Eclipse Vert.x Web quando utilizado com manipuladores de autenticação que exigem escopos, como JWTAuthHandler ou OAuth2AuthHandler. Se um usuário já estiver autenticado por um manipulador anterior no pipeline de requisição, o ChainAuthHandler ignora toda a validação de escopo configurada via withScope() ou withScopes(), afetando os modos de cadeia any() e all(). Isso ocorre porque a função postAuthentication() depende de um estado interno definido durante a fase authenticate(), que é totalmente ignorada para usuários pré-autenticados. Consequentemente, um usuário com um token válido, mas com escopos insuficientes, pode acessar recursos protegidos, especialmente em cenários com manipuladores de autenticação sobrepostos em rotas aninhadas.

Recommendations Atualize as versões do Eclipse Vert.x 4.0.0 até 4.5.34 para uma versão posterior à 4.5.34. Atualize as versões do Eclipse Vert.x 5.0.0 até 5.0.12 para uma versão posterior à 5.0.12. Atualize as versões do Eclipse Vert.x 5.1.0 até 5.1.9 para uma versão posterior à 5.1.9. Atualize a versão do Eclipse Vert.x 5.2.0 para uma versão posterior à 5.2.0.