CVE-2019-3773
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
Spring Web Services w wersjach 2.4.3, 3.0.4 oraz starszych nieobsługiwanych wersjach wszystkich trzech projektów jest podatny na wstrzykiwanie XML External Entity (XXE) podczas odbierania danych XML z niezaufanych źródeł.
Ocena ryzyka
Atakujący może wykorzystać XXE do odczytu lokalnych plików, przeprowadzenia ataków SSRF lub wywołania odmowy usługi, co może prowadzić do ujawnienia wrażliwych danych lub zakłócenia działania aplikacji.
Rekomendacja
Zaktualizuj Spring Web Services do wersji zawierającej poprawkę lub skonfiguruj parser XML tak, aby wyłączyć zewnętrzne encje.
Inne podatności w Spring Web Services
Zobacz wszystkie- CVE-2026-41000Niskie
W Spring Web Services (wersje 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8) komponent Wss4jSecurityInterceptor nie przekazywał poprawnie instancji ReplayCache do RequestData, co powodowało nieskuteczność ochrony przed atakami replay na tokeny UsernameToken, znaczniki czasu i SAML.
- CVE-2026-40999Wysokie
Gdy WS-Addressing jest używany z nieanonimowymi adresami ReplyTo lub FaultTo, Spring WS może inicjować połączenia wychodzące przez skonfigurowane instancje WebServiceMessageSender do miejsc docelowych pobranych bezpośrednio z nagłówków żądania, bez weryfikacji bezpieczeństwa tych miejsc.
- CVE-2026-40998Wysokie
Podatność w Spring Web Services (Jaxp13XPathTemplate) powoduje, że wyrażenia XPath są przetwarzane z domyślną konfiguracją JDK zamiast wzmocnionej konfiguracji Springa. Może to prowadzić do ataków XXE (XML External Entity) przy przetwarzaniu niezaufanych danych XML.
- CVE-2026-40997Średnie
Spring Web Services w połączeniu z Spring Security może ujawniać szczegółowe informacje o stanie konta (np. zablokowane lub wyłączone konto) zdalnym klientom SOAP poprzez komunikaty wyjątków lub wyniki callbacków, zamiast zwracać ogólne błędy uwierzytelnienia. Dotyczy wersji 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8.
- CVE-2026-40996Średnie
W Spring Web Services, Wss4jSecurityInterceptor domyślnie ustawia allowRSA15KeyTransportAlgorithm na true, nadpisując bezpieczniejsze domyślne ustawienia Apache WSS4J. To pozwala na akceptowanie kluczy szyfrowanych algorytmem RSA PKCS#1 v1.5 (rsa-1_5) podczas deszyfrowania WS-Security, chyba że operator jawnie zmieni konfigurację.
- CVE-2026-40995Średnie
W Spring Web Services X509AuthenticationProvider może wydać w pełni uwierzytelniony token X509AuthenticationToken, gdy certyfikat mapuje na UserDetails, bez sprawdzania standardowych kontroli cyklu życia konta (wyłączone, zablokowane, wygasłe lub wygasłe poświadczenia).
- CVE-2026-40994Wysokie
Wss4jSecurityInterceptor inicjalizował flagę zgodności BSP (WS-I Basic Security Profile) w taki sposób, że walidacja przychodząca wyłączała egzekwowanie WSS4J BSP na obiekcie RequestData. Usługi walidujące WS-Security w sieci mogły przez to akceptować komunikaty naruszające reguły BSP, osłabiając kontrole na poziomie protokołu.
Oryginalny opis (angielski, źródło NVD)
Spring Web Services, versions 2.4.3, 3.0.4, and older unsupported versions of all three projects, were susceptible to XML External Entity Injection (XXE) when receiving XML data from untrusted sources.