CVE-2026-40944mediumCWE-295

CVE-2026-40944: falha de média gravidade em oxia-db oxia

Oxia: TLS CA certificate chain validation fails with multi-certificate PEM bundles

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar oxia+ Monitorar github.com/oxia-db/oxia

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.9epss 0.2%
Oxia is a metadata store and coordination system. Prior to 0.16.2, the trustedCertPool() function in the TLS configuration only parses the first PEM block from CA certificate files. When a CA bundle contains multiple certificates (e.g., intermediate + root CA), only the first certificate is loaded. This silently breaks certificate chain validation for mTLS. This vulnerability is fixed in 0.16.2.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
Produtos afetados
oxia-db · oxia
CVEs relacionadas — oxia-db oxia

No mesmo produto, das mais perigosas para as menos.

CVE-2026-40945HIGHOxia: Bearer token exposed in debug log messages on authentication failureEPSS 0.3%CVE-2026-40946CRITICALOxia: OIDC token audience validation bypass via SkipClientIDCheckEPSS 0.3%CVE-2026-40943HIGHOxia: Server crash via race condition in session heartbeat handlingEPSS 0.2%