CVE-2026-40999
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Gdy WS-Addressing jest używany z nieanonimowymi adresami ReplyTo lub FaultTo, Spring WS może inicjować połączenia wychodzące przez skonfigurowane instancje WebServiceMessageSender do miejsc docelowych pobranych bezpośrednio z nagłówków żądania, bez weryfikacji bezpieczeństwa tych miejsc.
Ocena ryzyka
Ryzyko polega na możliwości wysłania żądań do niebezpiecznych lub nieautoryzowanych zewnętrznych serwerów, co może prowadzić do wycieku danych lub ataków SSRF.
Rekomendacja
Zaleca się aktualizację Spring Web Services do wersji 5.0.2, 4.1.4, 4.0.19 lub 3.1.9 (w zależności od linii wydań) oraz wdrożenie walidacji miejsc docelowych przed nawiązaniem połączenia.
Inne podatności w Spring Web Services
Zobacz wszystkie- CVE-2026-41000Niskie
W Spring Web Services (wersje 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8) komponent Wss4jSecurityInterceptor nie przekazywał poprawnie instancji ReplayCache do RequestData, co powodowało nieskuteczność ochrony przed atakami replay na tokeny UsernameToken, znaczniki czasu i SAML.
- CVE-2026-40998Wysokie
Podatność w Spring Web Services (Jaxp13XPathTemplate) powoduje, że wyrażenia XPath są przetwarzane z domyślną konfiguracją JDK zamiast wzmocnionej konfiguracji Springa. Może to prowadzić do ataków XXE (XML External Entity) przy przetwarzaniu niezaufanych danych XML.
- CVE-2026-40997Średnie
Spring Web Services w połączeniu z Spring Security może ujawniać szczegółowe informacje o stanie konta (np. zablokowane lub wyłączone konto) zdalnym klientom SOAP poprzez komunikaty wyjątków lub wyniki callbacków, zamiast zwracać ogólne błędy uwierzytelnienia. Dotyczy wersji 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8.
- CVE-2026-40996Średnie
W Spring Web Services, Wss4jSecurityInterceptor domyślnie ustawia allowRSA15KeyTransportAlgorithm na true, nadpisując bezpieczniejsze domyślne ustawienia Apache WSS4J. To pozwala na akceptowanie kluczy szyfrowanych algorytmem RSA PKCS#1 v1.5 (rsa-1_5) podczas deszyfrowania WS-Security, chyba że operator jawnie zmieni konfigurację.
- CVE-2026-40995Średnie
W Spring Web Services X509AuthenticationProvider może wydać w pełni uwierzytelniony token X509AuthenticationToken, gdy certyfikat mapuje na UserDetails, bez sprawdzania standardowych kontroli cyklu życia konta (wyłączone, zablokowane, wygasłe lub wygasłe poświadczenia).
- CVE-2026-40994Wysokie
Wss4jSecurityInterceptor inicjalizował flagę zgodności BSP (WS-I Basic Security Profile) w taki sposób, że walidacja przychodząca wyłączała egzekwowanie WSS4J BSP na obiekcie RequestData. Usługi walidujące WS-Security w sieci mogły przez to akceptować komunikaty naruszające reguły BSP, osłabiając kontrole na poziomie protokołu.
Oryginalny opis (angielski, źródło NVD)
When WS-Addressing is used with non-anonymous ReplyTo or FaultTo addresses, Spring WS may initiate outbound connections through configured WebServiceMessageSender instances to destinations taken directly from request headers without verifying that those destinations are safe to connect to. Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.