CVE-2026-40970

Spring Boot w wersjach 4.0.0–4.0.5 ma nieskuteczną domyślną ochronę webową, co pozwala na nieautoryzowany dostęp do wszystkich endpointów. Podatność dotyczy aplikacji serwletowych bez własnej konfiguracji Spring Security, używających spring-boot-actuator-autoconfigure i bez spring-boot-health.

Podatność w Spring Boot, gdzie ArtemisEmbeddedConfigurationFactory używa stałej, przewidywalnej ścieżki dla katalogu danych brokera Artemis. Lokalny atakujący może utworzyć dowiązanie symboliczne przed uruchomieniem aplikacji.

W Spring Boot wykryto podatność w automatycznej konfiguracji poczty, która nie włącza weryfikacji nazwy hosta. Aplikacje, które jawnie ustawiają właściwość JavaMail (np. spring.mail.properties.mail.smtp.ssl.checkserveridentity=true), nie są podatne. Podatne wersje to Spring Boot 4.0.0-4.0.6, 3.5.0-3.5.14 oraz 3.4.0-3.4.16.

W Spring Boot, gdy aplikacja używa ApplicationPidFileWriter, lokalny atakujący z prawem zapisu do lokalizacji pliku PID może uszkodzić jeden plik na hoście przy każdym uruchomieniu aplikacji. Dotyczy to wersji 4.0.0-4.0.5, 3.5.0-3.5.13, 3.4.0-3.4.15, 3.3.0-3.3.18, 2.7.0-2.7.32.

W Spring Boot wartości generowane przez ${random.value} nie nadają się do użycia jako sekrety. ${random.uuid} nie jest podatny, ale ${random.int} i ${random.long} mają przewidywalny zakres. Podatne wersje: 4.0.0–4.0.5, 3.5.0–3.5.13, 3.4.0–3.4.15, 3.3.0–3.3.18, 2.7.0–2.7.32.

Autokonfiguracja SSL dla Cassandra w Spring Boot nie przeprowadza weryfikacji nazwy hosta podczas nawiązywania połączenia SSL. Dotyczy to wielu wersji Spring Boot, w tym 4.0.0–4.0.5, 3.5.0–3.5.13, 3.4.0–3.4.15, 3.3.0–3.3.18 oraz 2.7.0–2.7.32.

Spring Boot w wielu wersjach (4.0.0-4.0.5, 3.5.0-3.5.13, 3.4.0-3.4.15, 3.3.0-3.3.18, 2.7.0-2.7.32) ma podatność związaną z przewidywalnym katalogiem tymczasowym ApplicationTemp. Lokalny atakujący może przejąć kontrolę nad tym katalogiem, a przy włączonej trwałej sesji (server.servlet.session.persistent=true) może odczytać sesje i przejąć konta użytkowników lub wykonać kod.

Atakujący w tej samej sieci co zdalna aplikacja może wykorzystać atak timingowy do ujawnienia informacji o zdalnym sekrecie. W skrajnych przypadkach może to doprowadzić do określenia sekretu i przesłania zmodyfikowanych klas, co umożliwia zdalne wykonanie kodu w aplikacji.

W przypadku korzystania z pakietu SSL, automatyczna konfiguracja RabbitMQ w Spring Boot nie przeprowadza weryfikacji nazwy hosta podczas łączenia się z brokerem RabbitMQ. Podatność dotyczy Spring Boot 4.0.0–4.0.5 (poprawka w 4.0.6) oraz 3.5.0–3.5.13 (poprawka w 3.5.14).