CVE-2026-59276
ŚrednieCVSS 5.9Streszczenie
Wiele komponentów Spring Security porównuje wartości wrażliwe dla bezpieczeństwa za pomocą standardowej metody String.equals() zamiast porównania w czasie stałym. Ponieważ String.equals() zwraca wynik natychmiast po znalezieniu różnicy, czas odrzucenia nieprawidłowej wartości jest proporcjonalny do liczby pasujących znaków początkowych.
Ocena ryzyka
Atakujący może wykorzystać różnice czasowe do odgadnięcia wrażliwych wartości, takich jak tokeny czy hasła, co może prowadzić do nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj Spring Security do wersji, w której zastosowano porównania w czasie stałym, zgodnie z informacjami producenta.
Oryginalny opis (angielski, źródło NVD)
Several components in Spring Security compare security-sensitive values using standard string equality (String.equals()) rather than a constant-time comparison. Because String.equals() returns as soon as it finds a differing character, the time taken to reject an incorrect value is proportional to the number of leading characters that match the expected value. Spring Security 7.1.0 Spring Security 7.0.0 - 7.0.6 Spring Security 6.5.0 - 6.5.11 Spring Security 6.4.0 - 6.4.18 Spring Security 5.8.0 - 5.8.27 Spring Security 5.7.0 - 5.7.25