描述

CVE-2024-38820 確保了為配置的 disallowedFields 模式和請求引數名稱進行與區域設定無關的、小寫轉換。然而，在某些情況下仍然可能繞過 disallowedFields 檢查。

受影響的…

描述

如果為其建立 EndpointRequest 的 Actuator 端點被停用或未暴露，EndpointRequest.to() 會為 null/** 建立一個匹配器。

如果滿足以下所有條件，您的應用程式可能會受到影響

• 您使用 Spring Security
• EndpointRequest.to() 已在 Spring Security 鏈配置中使用
• EndpointRequest 引用的端點被停用或未透過 Web 暴露
• 您的應用程式處理對 /null 的請求，並且此路徑需要保護
…

描述

CVE-2025-22228 中應用的修復無意中破壞了 DaoAuthenticationProvider 中實現的時序攻擊緩解。

受影響的 Spring 產品和版本

Spring Security

• 僅限 5.7.16
• 僅限 5.8.18
• 僅限 6.0.16
• 僅限 6.1.14
• 僅限 6.2.10
• 僅限 6.3.8
• 僅限 6.4.4
• 較舊的、不受支援的版本也受到影響
…

描述

Spring Cloud Config Server 在向 Vault 發出請求時，可能不使用客戶端透過 X-CONFIG-TOKEN 頭髮送的 Vault 令牌。

如果滿足以下條件，您的應用程式可能會受到影響：

1. 您的 Spring Cloud Config Server 的 classpath 中有 Spring Vault，並且
2. 您正在使用 X-CONFIG-TOKEN 頭將 Vault 令牌傳送到 Spring Cloud Config Server，以便 Config Server 在向 Vault 發出請求時使用，並且
3. 您正在使用預設的 Spring Vault SessionManager 實現 LifecycleAwareSessionManager 或持久化 Vault 令牌的 SessionManager 實現，例如 SimpleSessionManager…

描述

Spring Security 可能無法正確識別引數化型別或方法上的方法安全註解。這可能導致授權繞過。

如果滿足以下條件，您的應用程式可能會受到影響：

1. 您正在使用 @EnableMethodSecurity，並且
2. 您在引數化超類、介面或被覆蓋方法上有一個方法安全註解，但在目標方法上沒有註解
…

描述

只要前 72 個字元相同，BCryptPasswordEncoder.matches(CharSequence,String) 會錯誤地對超過 72 個字元的密碼返回 true。

受影響的 Spring 產品和版本

Spring Security

• 5.7.0 - 5.7.15
• 5.8.0 - 5.8.17
• 6.0.0 - 6.0.15
• 6.1.0 - 6.1.13
• 6.2.0 - 6.2.9
• 6.3.0 - 6.3.7
• 6.4.0 - 6.4.3
• 較舊的、不受支援的版本也受到影響
…

描述

String.toLowerCase() 和 String.toUpperCase() 的使用存在一些與 Locale 相關的異常，這可能導致授權規則無法正常工作。

與 CVE-2024-38820 相關

受影響的 Spring 產品和版本

Spring…

描述

String.toLowerCase() 和 String.toUpperCase() 的使用存在一些與 Locale 相關的異常，這可能導致查詢到非預期的列

與 CVE-2024-38820 相關

受影響的 Spring 產品和版本

Spring LDAP

• 2.4.0 - 2.4.3
• 3.0.0 - 3.0.9
• 3.1.0 - 3.1.7
• 3.2.0 - 3.2.7
• 較舊的、不受支援的版本也受到影響
…

描述

帶有 @RequestBody byte[] 方法引數的 Spring MVC 控制器方法容易受到 DoS 攻擊。

受影響的 Spring 產品和版本

Spring Framework

• 5.3.0 - 5.3.41
• 較舊的、不受支援的版本也受到影響

緩解措施

使用者…

描述

對靜態資源應用了 Spring Security 授權規則的 Spring WebFlux 應用程式在某些情況下可能被繞過。

要影響應用程式，以下所有條件都必須為真

• 它必須是一個 WebFlux 應用程式
• 它必須使用 Spring 的靜態資源支援
• 它必須對靜態資源支援應用了非 permit-all 的授權規則
…