CVE-2026-102695

Nome do Software Vulnerável e Versões Afetadas OmniFaces versões anteriores a 1.14.3 OmniFaces versões anteriores a 2.7.33 OmniFaces versões anteriores a 3.14.23 OmniFaces versões anteriores a 4.7.12 OmniFaces versões anteriores a 5.4.2

Description O CombinedResourceHandler aceita IDs de recursos combinados deflacionados e codificados em base64 estruturalmente válidos sem verificar se o servidor os emitiu. Isso permite que um ID forjado cause a saída decodificada ilimitada, adicione IDs reconstruídos únicos a um cache de tempo de vida do processo ou combine recursos que não sejam scripts e folhas de estilo. Como o jakarta.faces.RESOURCE EXCLUDES não é aplicado, um ID forjado pode expor a fonte do Facelets da árvore de recursos do webapp ou META-INF/resources. Em implantações que utilizam mapeamento de CDN curinga, um ID forjado que selecione omnifaces.graphic pode desencadear uma busca no servidor cega e dependente da implantação, onde o destino é derivado parcialmente do cabeçalho Host da requisição. Este problema leva ao esgotamento de memória e divulgação limitada de recursos.

Recommendations Atualize o OmniFaces para a versão 1.14.3 ou posterior. Atualize o OmniFaces para a versão 2.7.33 ou posterior. Atualize o OmniFaces para a versão 3.14.23 ou posterior. Atualize o OmniFaces para a versão 4.7.12 ou posterior. Atualize o OmniFaces para a versão 5.4.2 ou posterior.