CVE-2026-40458

Name of the Vulnerable Software and Affected Versions PAC4J versões anteriores a 5.7.10 PAC4J versões anteriores a 6.4.1

Description O Cross-Site Request Forgery (CSRF) ocorre quando um invasor malicioso cria um site que envia automaticamente uma solicitação forjada usando um token cujo hash colide com o token CSRF legítimo da vítima. Isso é possível porque colisões na função determinística String.hashCode() podem ser computadas diretamente, reduzindo o espaço de segurança do token para 32 bits. Isso permite que um invasor ignore as proteções e realize operações de alteração de estado, como atualizações de perfil, alterações de senha e vinculação de contas, sem o consentimento da vítima, sem a necessidade de conhecer o token real ou seu hash previamente.

Recommendations Atualizar para a versão 5.7.10. Atualizar para a versão 6.4.1.