Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je kvôli napevno zakódovanému administrátorskému účtu a sprístupneniu LDAP listenera na všetkých sieťových rozhraniach v produkte Spring Security umožnené čítať alebo meniť záznamy v LDAP adresári. Dotknuté sú iba aplikácie používajúce UnboundIdContainer alebo spring.ldap.embedded.* so závislosťou unboundid-ldapsdk [2][3].

Zraniteľnosť sa nachádza v produkte:

• Spring Security; >=7.1.0, <=7.1.0; >=7.0.0, <=7.0.6; >=6.5.0, <=6.5.11; >=6.4.0, <=6.4.18; >=5.8.0, <=5.8.27; >=5.7.0, <=5.7.25

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Viac informácií:

• CVE-2026-59270 na cve.org, NVD
• CWE-798: Use of Hard-coded Credentials na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 8. 2026.

Neautentizovanému vzdialenému útočníkovi je kvôli chýbajúcemu HTML kódovaniu vstupov na predvolenej consent stránke produktu Spring Authorization Server umožnené vložiť a spustiť ľubovoľný JavaScript v prehliadači používateľa. Aplikácie s vlastnou consent stránkou nie sú dotknuté [4][5].

Zraniteľnosť sa nachádza v produkte:

• Spring Authorization Server; >1.5.0, <=1.5.8; >=1.4.0, <=1.4.11

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N

Viac informácií:

• CVE-2026-59316 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 8. 2026.

Neautentizovanému vzdialenému útočníkovi je v produkte Spring Integration umožnené spôsobiť únik informácií medzi požiadavkami a chybné smerovanie odpovedí medzi používateľmi. Dotknuté sú aplikácie používajúce fluxTransform() s asynchrónnou funkciou alebo funkciou meniacou poradie, ktorá vracia nezabalené dátové časti namiesto objektov Message [6][7].

Zraniteľnosť sa nachádza v produkte:

• Spring Integration; >=7.1.0, <7.1.0; >=7.0.0, <=7.0.5; >=6.5.0, <=6.5.10; >=6.4.0, <=6.4.12, <=5.5.21

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Viac informácií:

• CVE-2026-59324 na cve.org, NVD
• CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 8. 2026.

Neautentizovanému vzdialenému útočníkovi je kvôli nebezpečnej deserializácii pri spracovaní stránkovaných GraphQL dopytov v produkte Spring for GraphQL umožnené potenciálne spustiť ľubovoľný kód [8][9].

Zraniteľnosť sa nachádza v produkte:

• Spring for GraphQL; >=2.0.0, <=2.0.4

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2026-59285 na cve.org, NVD
• CWE-502: Deserialization of Untrusted Data na cwe.mitre.org

Autentizovanému vzdialenému útočníkovi je v produkte Spring AI umožnené pomocou prompt injection vyvolať nástroj nesprístupnený pre danú požiadavku a potenciálne eskalovať oprávnenia [10][11].

Zraniteľnosť sa nachádza v produkte:

• Spring AI; >=2.0.0, <=2.0.0; >=1.1.0, <=1.1.8, >=1.0.0, <=1.0.9

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:L/A:N

Viac informácií:

• CVE-2026-59318 na cve.org, NVD
• CWE-863: Incorrect Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 20. 8. 2026.