anonhaven

CVE-2026-22731

HIGH CVSS 3.1: 8,2 EPSS 0.04%
Обновлено 20 марта 2026
Spring
Параметр Значение
CVSS 8,2 (HIGH)
Уязвимые версии до 4.0.3
Тип уязвимости CWE-288 (Обход аутентификации)
Поставщик Spring
Публичный эксплойт Нет

Приложения Spring Boot с Actuator могут быть уязвимы к уязвимости «Обход аутентификации», когда конечная точка приложения, требующая аутентификации, объявлена ​​по определенному пути, уже настроенному для дополнительного пути группы работоспособности. Эта проблема затрагивает Spring Boot: с версии 4.0 до 4.0.3, с версии 3.5 до 3.5.11, с версии 3.4 до 3.4.15. Этот CVE похож, но не эквивалентен CVE-2026-22733, поскольку условия для эксплойтов и уязвимых версий различаются.

Показать оригинальное описание (EN)

Spring Boot applications with Actuator can be vulnerable to an "Authentication Bypass" vulnerability when an application endpoint that requires authentication is declared under a specific path, already configured for a Health Group additional path. This issue affects Spring Boot: from 4.0 before 4.0.3, from 3.5 before 3.5.11, from 3.4 before 3.4.15. This CVE is similar but not equivalent to CVE-2026-22733, as the conditions for exploit and vulnerable versions are different.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v3.1

Тип уязвимости (CWE)

CWE-288 Authentication Bypass Using Alternate Path (Обход аутентификации)

Ссылки 1

https://spring.io/security/cve-2026-22731
security@vmware.com
Share Post Share Share Share

Связанные уязвимости

CVE-2026-22735

Spring

2,6

CVE-2026-22733

Spring

8,2

CVE-2026-22732

Spring

9,1

CVE-2026-22730

Spring

8,8

CVE-2026-22729

Spring

8,6