Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-03480

Опубликовано: 19 мар. 2026
Источник: fstec
CVSS3: 9.1
CVSS2: 9.4
EPSS Низкий

Описание

Уязвимость Java-фреймворка для обеспечения безопасности промышленных приложений Spring Security связана с использованием небезопасной прямой ссылкой на объект. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного HTTP-запроса

Вендор

Broadcom Inc.

Наименование ПО

Spring Security

Версия ПО

от 5.7.0 до 5.7.21 включительно (Spring Security)
от 5.8.0 до 5.8.23 включительно (Spring Security)
от 6.3.0 до 6.3.14 включительно (Spring Security)
от 6.4.0 до 6.4.14 включительно (Spring Security)
от 6.5.0 до 6.5.8 включительно (Spring Security)
от 7.0.0 до 7.0.3 включительно (Spring Security)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика;
- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;
- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;
- ограничение доступа из внешних сетей (Интернет).
Использование рекомендаций:
https://spring.io/security/cve-2026-22732

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 3%
0.00014
Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVSS3: 6.5
redhat
12 дней назад

When applications specify HTTP response headers for servlet applications using Spring Security, there is the possibility that the HTTP Headers will not be written.  This issue affects Spring Security: from 5.7.0 through 5.7.21, from 5.8.0 through 5.8.23, from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.8, from 7.0.0 through 7.0.3.

CVSS3: 9.1
nvd
12 дней назад

When applications specify HTTP response headers for servlet applications using Spring Security, there is the possibility that the HTTP Headers will not be written.  This issue affects Spring Security: from 5.7.0 through 5.7.21, from 5.8.0 through 5.8.23, from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.8, from 7.0.0 through 7.0.3.

CVSS3: 9.1
debian
12 дней назад

When applications specify HTTP response headers for servlet applicatio ...

CVSS3: 9.1
github
12 дней назад

Spring Security HTTP Headers Are not Written Under Some Conditions

EPSS

Процентиль: 3%
0.00014
Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2