CVE-2026-22752
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność w Spring Authorization Server umożliwia ominięcie uwierzytelniania z powodu słabości pierwotnej. Dotyczy wersji od 7.0.0 do 7.0.4, od 1.5.0 do 1.5.6, od 1.4.0 do 1.4.9 oraz od 1.3.0 do 1.3.10.
Ocena ryzyka
Atakujący może ominąć mechanizmy uwierzytelniania, co prowadzi do nieautoryzowanego dostępu do chronionych zasobów i potencjalnego przejęcia kont użytkowników.
Rekomendacja
Należy natychmiast zaktualizować Spring Authorization Server do najnowszej dostępnej wersji, która zawiera poprawkę tej podatności.
Inne podatności w Spring Authorization Server
Zobacz wszystkie- CVE-2026-59316Wysokie
Spring Authorization Server domyślnie renderuje wartości kontrolowane przez użytkownika na stronie zgody bez kodowania encji HTML. Atakujący może wysłać żądanie autoryzacji OAuth2 zawierające złośliwą wartość, która jest przechowywana po stronie serwera i później renderowana bez kodowania na domyślnej stronie zgody. Dotyczy wersji 1.5.0-1.5.8 oraz 1.4.0-1.4.11.
- CVE-2026-59355Średnie
W Spring Authorization Server w wersjach od 1.5.0 do 1.5.7 punkt końcowy autoryzacji wykonuje niewystarczającą walidację parametru request_uri. Atakujący może utworzyć żądanie z nieprawidłowym request_uri i niezwalidowanym redirect_uri, co może prowadzić do otwartego przekierowania na stronę kontrolowaną przez atakującego.
Oryginalny opis (angielski, źródło NVD)
Authentication bypass by primary weakness vulnerability in Spring Security Spring Authorization Server. This issue affects Spring Authorization Server: from 7.0.0 through 7.0.4, from 1.5.0 through 1.5.6, from 1.4.0 through 1.4.9, from 1.3.0 through 1.3.10.