Към съдържанието
Търсене

CVE-2026-40997: Spring Web Services, изтичане на данни

5.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Several Spring WS integration paths with Spring Security could surface detailed account state (for example locked or disabled user semantics) to remote SOAP clients through exception messages or callback outcomes, instead of failing with generic authentication errors. That behavior assists remote attackers in distinguishing valid accounts from invalid ones and inferring lifecycle state. Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.

Засегнати продукти

  • Spring Spring Web Services: 5.0.0 преди 5.0.1.1; 4.1.0 преди 4.1.3.1; 4.0.0 преди 4.0.19; 3.1.0 преди 3.1.9

Вид слабост

История

  • 11 юни 2026 Публикувано

Други уязвимости в Spring Spring Web Services

Първоизточници

CVE-2026-40997: Spring Web Services, изтичане на данни | freedomonline.bg