Skip to content
OpenAdvisories
Medium WID-SEC-2026-2292 2 CVEs

Apache log4j und Log4cxx: Mehrere Schwachstellen ermöglichen Manipulation von Dateien

Published Jul 12, 2026 · Updated Nov 1, 2026 · Revision 11 · de-DE

Vendor: Apache Vendor: HCL Software Vendor: IBM Product: App Connect Enterprise Product: Business Automation Workflow Product: Db2 Product: Domino Product: License Metric Tool Product: Log4cxx Product: log4j Product: Operational Decision Manager Product: QRadar SIEM Product: SPSS Product: Tivoli Key Lifecycle Manager Product: Tivoli Netcool/OMNIbus Product: Tivoli Network Manager

Summary

Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Apache log4j und Apache Log4cxx ausnutzen, um Dateien zu manipulieren.

Product

Apache log4j ist ein Framework zum Loggen von Anwendungsmeldungen in Java.
Apache Log4cxx ist ein Logging-Framework für C++-Anwendungen, das flexible und konfigurierbare Logging-Funktionen bereitstellt.

Vulnerabilities 2

  • Medium 6.3
    CVE-2026-40023

    Apache Log4cxx, Apache Log4cxx (Conan), Apache Log4cxx (Brew): Silent log event loss in XMLLayout due to unescaped XML 1.0 forbidden characters

    Apache Log4cxx's XMLLayout https://logging.apache.org/log4cxx/1.7.0/classlog4cxx_1_1xml_1_1XMLLayout.html , in versions before 1.7.0, fails to sanitize characters forbidden by the XML 1.0 specification https://www.w3.org/TR/xml/#charsets in log messages, NDC,…

    Apache Software Foundation Apache Log4cxx Apache Log4cxx (Conan) Apache Log4cxx (Brew) Debian Ubuntu
  • Medium 6.3
    CVE-2026-49844 Public exploit

    Apache Log4j API: Improper serialization of non-finite floating-point values in MapMessage.asJson()

    Improper encoding of non-finite floating-point values during MapMessage JSON serialization in Apache Log4j API produces output that is not valid JSON. This issue affects Apache Log4j API versions 2.13.1 through 2.25.4 and version 2.26.0. The fix for CVE-2026-…

    Apache Software Foundation Apache Log4j API druid thingsboard-tb-node Debian Ubuntu Wolfi Maven

Revision history

  1. #11

    Neue Updates von IBM aufgenommen

  2. #10

    Neue Updates von IBM aufgenommen

  3. #9

    Neue Updates von IBM aufgenommen

  4. #8

    Neue Updates von IBM aufgenommen

  5. #7

    Neue Updates von IBM aufgenommen

  6. #6

    Neue Updates von IBM aufgenommen

  7. #5

    Neue Updates von IBM aufgenommen

  8. #4

    Neue Updates von IBM aufgenommen

  9. #3

    Neue Updates von HCL aufgenommen

  10. #2

    Neue Updates von IBM aufgenommen

  11. #1

    Initiale Fassung

References