CVE-2026-40992
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W Spring Boot wykryto podatność w automatycznej konfiguracji poczty, która nie włącza weryfikacji nazwy hosta. Aplikacje, które jawnie ustawiają właściwość JavaMail (np. spring.mail.properties.mail.smtp.ssl.checkserveridentity=true), nie są podatne. Podatne wersje to Spring Boot 4.0.0-4.0.6, 3.5.0-3.5.14 oraz 3.4.0-3.4.16.
Ocena ryzyka
Ryzyko polega na możliwym ataku typu man-in-the-middle na połączenia pocztowe, ponieważ brak weryfikacji nazwy hosta umożliwia podszycie się pod serwer pocztowy.
Rekomendacja
Zaleca się aktualizację Spring Boot do wersji 4.0.7, 3.5.15 lub 3.4.17 (lub nowszej) albo jawne ustawienie właściwości weryfikacji tożsamości serwera.
Inne podatności w Spring Boot
Zobacz wszystkie- CVE-2026-40976Krytyczne
Spring Boot w wersjach 4.0.0–4.0.5 ma nieskuteczną domyślną ochronę webową, co pozwala na nieautoryzowany dostęp do wszystkich endpointów. Podatność dotyczy aplikacji serwletowych bez własnej konfiguracji Spring Security, używających spring-boot-actuator-autoconfigure i bez spring-boot-health.
- CVE-2026-41001Średnie
Podatność w Spring Boot, gdzie ArtemisEmbeddedConfigurationFactory używa stałej, przewidywalnej ścieżki dla katalogu danych brokera Artemis. Lokalny atakujący może utworzyć dowiązanie symboliczne przed uruchomieniem aplikacji.
- CVE-2026-40977Średnie
W Spring Boot, gdy aplikacja używa ApplicationPidFileWriter, lokalny atakujący z prawem zapisu do lokalizacji pliku PID może uszkodzić jeden plik na hoście przy każdym uruchomieniu aplikacji. Dotyczy to wersji 4.0.0-4.0.5, 3.5.0-3.5.13, 3.4.0-3.4.15, 3.3.0-3.3.18, 2.7.0-2.7.32.
- CVE-2026-40975Średnie
W Spring Boot wartości generowane przez ${random.value} nie nadają się do użycia jako sekrety. ${random.uuid} nie jest podatny, ale ${random.int} i ${random.long} mają przewidywalny zakres. Podatne wersje: 4.0.0–4.0.5, 3.5.0–3.5.13, 3.4.0–3.4.15, 3.3.0–3.3.18, 2.7.0–2.7.32.
- CVE-2026-40974Średnie
Autokonfiguracja SSL dla Cassandra w Spring Boot nie przeprowadza weryfikacji nazwy hosta podczas nawiązywania połączenia SSL. Dotyczy to wielu wersji Spring Boot, w tym 4.0.0–4.0.5, 3.5.0–3.5.13, 3.4.0–3.4.15, 3.3.0–3.3.18 oraz 2.7.0–2.7.32.
- CVE-2026-40973Wysokie
Spring Boot w wielu wersjach (4.0.0-4.0.5, 3.5.0-3.5.13, 3.4.0-3.4.15, 3.3.0-3.3.18, 2.7.0-2.7.32) ma podatność związaną z przewidywalnym katalogiem tymczasowym ApplicationTemp. Lokalny atakujący może przejąć kontrolę nad tym katalogiem, a przy włączonej trwałej sesji (server.servlet.session.persistent=true) może odczytać sesje i przejąć konta użytkowników lub wykonać kod.
- CVE-2026-40972Wysokie
Atakujący w tej samej sieci co zdalna aplikacja może wykorzystać atak timingowy do ujawnienia informacji o zdalnym sekrecie. W skrajnych przypadkach może to doprowadzić do określenia sekretu i przesłania zmodyfikowanych klas, co umożliwia zdalne wykonanie kodu w aplikacji.
- CVE-2026-40971Średnie
W przypadku korzystania z pakietu SSL, automatyczna konfiguracja RabbitMQ w Spring Boot nie przeprowadza weryfikacji nazwy hosta podczas łączenia się z brokerem RabbitMQ. Podatność dotyczy Spring Boot 4.0.0–4.0.5 (poprawka w 4.0.6) oraz 3.5.0–3.5.13 (poprawka w 3.5.14).
Oryginalny opis (angielski, źródło NVD)
Spring Boot's Mail auto-configuration does not enable hostname verification. Applications that set the relevant JavaMail property, such as spring.mail.properties.mail.smtp.ssl.checkserveridentity=true, are not affected. Affected versions: Spring Boot 4.0.0 through 4.0.6; 3.5.0 through 3.5.14; 3.4.0 through 3.4.16.