JVNDB-2026-017852

Apache Software FoundationのApache ActiveMQ等の複数製品におけるクロスサイトスクリプティングの脆弱性

Apache ActiveMQおよびApache ActiveMQ Webには、ウェブページ生成中に入力が不適切に無害化されるクロスサイトスクリプティング脆弱性があります。ActiveMQ WebコンソールAPIのMessageServletは、すべてのJMSメッセージプロパティを検証せずにHTTPレスポンスヘッダーにコピーします。これにより、サーブレットが返すJMSメッセージに設定されたヘッダーによってセキュリティヘッダーが上書きされたり注入されたりする恐れがあります。この問題は、Apache ActiveMQの5.19.7未満、および6.0.0から6.2.6未満、またApache ActiveMQ Webの5.19.7未満、および6.0.0から6.2.6未満のバージョンに影響します。ユーザーはこの問題を修正したバージョン5.19.7または6.2.6へのアップグレードを推奨します。なお、MessageServletは現在非推奨となっており、デフォルトで無効化されています。

Apache Software Foundation

• ActiveMQ Web 5.19.7 未満
• ActiveMQ Web 6.0.0 以上 6.2.6 未満
• Apache ActiveMQ 5.19.7 未満
• Apache ActiveMQ 6.0.0 以上 6.2.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-42253: Apache ActiveMQ, Apache ActiveMQ Web: HTTP Response Header Injection via JMS Message Properties-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-42253: Apache ActiveMQ, Apache ActiveMQ Web: HTTP Response Header Injection via JMS Message Properties

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-42253

1. National Vulnerability Database (NVD) : CVE-2026-42253

• [2026年06月04日]
    掲載