CVE-2026-41838
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Identyfikatory sesji WebSocket w module spring-websocket nie są kryptograficznie nieprzewidywalne, co może umożliwić ich wykorzystanie w połączeniu z nieodpowiednimi regułami autoryzacji.
Ocena ryzyka
Atakujący może przewidzieć lub odgadnąć identyfikatory sesji WebSocket, co w połączeniu z błędami autoryzacji może prowadzić do nieautoryzowanego dostępu do sesji lub danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Spring Framework do wersji 7.0.8, 6.2.19, 6.1.28 lub 5.3.49, w zależności od używanej gałęzi.
Oryginalny opis (angielski, źródło NVD)
IDs for WebSocket sessions in the spring-websocket module are not cryptographically unpredictable, which may be possible to exploit in combination with inadequate authorization rules. Affected versions: Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.