CVE-2026-59270
KrytyczneCVSS 9.4Streszczenie
Spring Security zawiera wbudowany serwer LDAP UnboundID (UnboundIdContainer), który bezwarunkowo rejestruje poświadczenia administracyjne i wiąże swój nasłuch na wszystkich dostępnych interfejsach sieciowych. Dotyczy to wersji Spring Security 7.1.0, 7.0.0-7.0.6, 6.5.0-6.5.11, 6.4.0-6.4.18, 5.8.0-5.8.27 oraz 5.7.0-5.7.25.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do serwera LDAP przez sieć, co może prowadzić do naruszenia poufności danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj Spring Security do najnowszej wersji, która zawiera poprawkę tej podatności, lub skonfiguruj serwer LDAP tak, aby nie nasłuchiwał na wszystkich interfejsach.
Oryginalny opis (angielski, źródło NVD)
Spring Security's embedded UnboundID LDAP server (UnboundIdContainer) unconditionally registers an administrative credential and binds its listener to all available network interfaces. Spring Security 7.1.0 Spring Security 7.0.0 - 7.0.6 Spring Security 6.5.0 - 6.5.11 Spring Security 6.4.0 - 6.4.18 Spring Security 5.8.0 - 5.8.27 Spring Security 5.7.0 - 5.7.25