PAC4J possui uma Vulnerabilidade de Cross-Site Request Forgery (CSRF)

A exploração bem-sucedida desta vulnerabilidade CSRF permite que um atacante execute ações não autorizadas em nome de um usuário autenticado no PAC4J Core. Isso pode incluir a modificação de perfis de usuário, a alteração de senhas e potencialmente outras ações dependendo da funcionalidade da aplicação que utiliza o PAC4J Core. A vulnerabilidade reside na forma como os tokens CSRF são gerados e validados, onde a função String.hashCode() pode gerar colisões, permitindo que um atacante crie requisições forjadas que são aceitas como legítimas. A ausência de um conhecimento prévio do token CSRF do usuário torna o ataque ainda mais fácil de executar, diminuindo a barreira de entrada para atacantes.

Applications utilizing PAC4J Core for authentication and authorization, particularly those handling sensitive user data, are at risk. Shared hosting environments where multiple applications share the same PAC4J Core library are also particularly vulnerable, as a compromise in one application could potentially impact others.

• java / server:

# Check for PAC4J Core version
java -jar your_application.jar | grep "PAC4J Core"

• generic web:

# Check for suspicious requests in access logs
grep -i "/your/sensitive/endpoint" access.log

1. 2026-04-17Disclosure

   disclosure

1. Reservado2026-04-13
2. Publicada2026-04-17
3. EPSS atualizado2026-04-25

A mitigação primária para a vulnerabilidade CVE-2026-40458 é a atualização para a versão 6.4.1 do PAC4J Core, que corrige o problema de colisões no String.hashCode(). Se a atualização imediata não for possível, considere implementar medidas de proteção CSRF adicionais, como a validação de referenciador (Referer header) e a utilização de tokens CSRF gerados de forma mais segura. Implementar uma camada de proteção WAF (Web Application Firewall) com regras que detectem padrões de requisições CSRF também pode ajudar a mitigar o risco. Após a atualização, confirme a correção verificando se os tokens CSRF são gerados de forma segura e se as requisições forjadas são devidamente bloqueadas.