PAC 4 J é vulnerável a falsificação de solicitação cruzada de sites (CSRF). Um atacante malicioso pode criar um site especialmente projetado que, quando visitado por um usuário, irá enviar automaticamente uma solicitação falsa de um site com um token cujo hash colapsa com o token CSRF legítimo da vítima. Importantemente, o atacante não precisa conhecer o token CSRF da vítima ou o seu hash antes do ataque. As colisões na função determinística String.hashCode() podem ser calculadas diretamente, reduzindo o espaço de segurança do token efetivo para 32 Pedaços. Isto evita a proteção do CSRF, permitindo atualizações de perfil, alterações de senha, links de contas e quaisquer outras operações que mudem de estado a serem realizadas sem o consentimento da vítima. Este problema foi corrigido no PAC 4 versões J 5.7.10 e 6.4.1 O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 40458 foi publicado em 2026 - 04 - 17 T 14: 16: 33.987 Z e última modificação em 2026 - 06 - 17 T 10: 45: 19.557 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 4.0, pontuação de base 7, gravidade HIGH, vetor CVSS: 4.0 /AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:L/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/S:X/AU:X/R:X/V:X/X/RE:X/U:X; CVSS 3.1, pontuação de base 6.5, gravidade MEDIUM, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N, pontuação de exploração 2.8, pontuação de impacto 3.6; CVSS. Classificações de fraqueza associadas: CWE- 352.
Produtos ou plataformas nomeados nos dados de aplicabilidade incluem: pac 4 j pac 4 j. O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.