Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je kvůli pevně zakódovanému administrátorskému účtu a zpřístupnění LDAP listeneru na všech síťových rozhraních v produktu Spring Security umožněno číst nebo měnit záznamy v LDAP adresáři. Dotčeny jsou pouze aplikace používající UnboundIdContainer nebo spring.ldap.embedded.* se závislostí unboundid-ldapsdk [2][3].

Zranitelnost se nachází v produktu:

• Spring Security; >=7.1.0, <=7.1.0; >=7.0.0, <=7.0.6; >=6.5.0, <=6.5.11; >=6.4.0, <=6.4.18; >=5.8.0, <=5.8.27; >=5.7.0, <=5.7.25

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Více informací:

• CVE-2026-59270 na cve.org, NVD
• CWE-798: Use of Hard-coded Credentials na cwe.mitre.org

Zranitelnost byla veřejně oznámena 20. 8. 2026.

Neautentizovanému vzdálenému útočníkovi je kvůli chybějícímu HTML kódování vstupů na výchozí consent stránce produktu Spring Authorization Server umožněno vložit a spustit libovolný JavaScript v prohlížeči uživatele. Aplikace s vlastní consent stránkou nejsou dotčeny [4][5].

Zranitelnost se nachází v produktu:

• Spring Authorization Server; >1.5.0, <=1.5.8; >=1.4.0, <=1.4.11

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N

Více informací:

• CVE-2026-59316 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 20. 8. 2026.

Neautentizovanému vzdálenému útočníkovi je v produktu Spring Integration umožněno způsobit únik informací mezi požadavky a chybné směrování odpovědí mezi uživateli. Dotčeny jsou aplikace používající fluxTransform() s asynchronní funkcí nebo funkcí měnící pořadí, která vrací nezabalené datové části namísto objektů Message [6][7].

Zranitelnost se nachází v produktu:

• Spring Integration; >=7.1.0, <7.1.0; >=7.0.0, <=7.0.5; >=6.5.0, <=6.5.10; >=6.4.0, <=6.4.12, <=5.5.21

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Více informací:

• CVE-2026-59324 na cve.org, NVD
• CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 20. 8. 2026.

Neautentizovanému vzdálenému útočníkovi je kvůli nebezpečné deserializaci při zpracování stránkovaných GraphQL dotazů v produktu Spring for GraphQL umožněno potenciálně spustit libovolný kód [8][9].

Zranitelnost se nachází v produktu:

• Spring for GraphQL; >=2.0.0, <=2.0.4

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2026-59285 na cve.org, NVD
• CWE-502: Deserialization of Untrusted Data na cwe.mitre.org

Autentizovanému vzdálenému útočníkovi je v produktu Spring AI umožněno pomocí prompt injection vyvolat nástroj nezpřístupněný pro daný požadavek a potenciálně eskalovat oprávnění [10][11].

Zranitelnost se nachází v produktu:

• Spring AI; >=2.0.0, <=2.0.0; >=1.1.0, <=1.1.8, >=1.0.0, <=1.0.9

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:L/A:N

Více informací:

• CVE-2026-59318 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 20. 8. 2026.