CVE-2026-40988

ActiveDirectoryLdapAuthenticator w Spring Security w wersjach od 3.2.0 do 3.2.1 oraz od 3.1.0 do 3.1.5 nie sprawdza długości hasła. W przypadku, gdy katalog pozwala na anonimowe logowanie, może błędnie uwierzytelnić użytkownika, który poda puste hasło.

Spring Security zawiera wbudowany serwer LDAP UnboundID (UnboundIdContainer), który bezwarunkowo rejestruje poświadczenia administracyjne i wiąże swój nasłuch na wszystkich dostępnych interfejsach sieciowych. Dotyczy to wersji Spring Security 7.1.0, 7.0.0-7.0.6, 6.5.0-6.5.11, 6.4.0-6.4.18, 5.8.0-5.8.27 oraz 5.7.0-5.7.25.

Narzędzie InetAddressMatchers w Spring Security udostępnia konstruktory matchInternal() i matchExternal() do tworzenia matchera adresów IP, który klasyfikuje adres jako wewnętrzny (prywatny) lub zewnętrzny (publiczny). Podatność dotyczy Spring Security 7.1.0.

Wiele komponentów Spring Security porównuje wartości wrażliwe dla bezpieczeństwa za pomocą standardowej metody String.equals() zamiast porównania w czasie stałym. Ponieważ String.equals() zwraca wynik natychmiast po znalezieniu różnicy, czas odrzucenia nieprawidłowej wartości jest proporcjonalny do liczby pasujących znaków początkowych.

Spring Security Authorization Server w wersjach 7.1.0 oraz 7.0.0-7.0.6 zawiera podatność polegającą na tym, że domyślna strona zgody (consent page) renderuje wartości kontrolowane przez użytkownika bez kodowania encji HTML.

Aplikacje używające AesBytesEncryptor z dwuargumentowym konstruktorem lub z przekazanym null jako generator IV i trybem CBC szyfrują dane za pomocą AES/CBC z wektorem inicjalizacyjnym o wartości null (same zera). Podatne są wersje Spring Security od 5.7.0 do 7.1.0.

Aplikacja korzystająca z obsługi WebAuthn w Spring Security może być podatna na obejście weryfikacji użytkownika w przypadku korzystania z rozproszonego magazynu sesji HTTP. Podatność dotyczy Spring Security 7.1.0, 7.0.0-7.0.6, 6.5.0-6.5.11 oraz 6.4.0-6.4.18.

Podatność na obejście uwierzytelniania przez atak typu capture-replay w Spring Security. DPoPProofJwtDecoderFactory zawiera podatność na atak typu replay oparty na pamięci podręcznej. Wewnętrzna pamięć podręczna przechowująca identyfikatory JWT ma ścisły limit rozmiaru, co pozwala atakującym na usunięcie prawidłowych wpisów przez zalanie serwera fałszywymi żądaniami, a następnie powtórzenie przechwyconych prawidłowych dowodów DPoP.

Klasa SubjectDnX509PrincipalExtractor w Spring Security nieprawidłowo obsługuje niektóre uszkodzone wartości CN w certyfikatach X.509, co może prowadzić do odczytania błędnej nazwy użytkownika. W starannie spreparowanym certyfikacie może to umożliwić atakującemu podszycie się pod innego użytkownika. Dotyczy wersji 5.7.0-5.7.24, 5.8.0-5.8.26, 6.3.0-6.3.17, 6.4.0-6.4.17, 6.5.0-6.5.10.

Podatność w Spring Security dotyczy CookieRequestCache i CookieServerRequestCache, które przechowują pełny absolutny URL żądania przed uwierzytelnieniem w ciasteczku przeglądarki. Po zalogowaniu użytkownik jest przekierowywany na ten URL bez walidacji, co umożliwia atak typu open redirect.