[TLP:CLEAR] VMware Spring opravuje více než 60 zranitelností
VMware Spring v rámci dosavadních červnových záplat opravuje 67 zranitelností v různých produktech. Nejzávažnější z nich jsou popsány níže. Úplný seznam zranitelnosti včetně opravených verzí naleznete na [1] po rozkliknutí jednotlivých varování.
Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečnému ověření hlaviček ReplyTo/FaultTo ve Spring Web Services umožněno vykonat útok SSRF. Pokud nelze provést aktualizaci, omezte povolené cíle pro jednotlivé nakonfigurované odesílací komponenty přepsáním metody supports [2].
Zranitelnost se nachází v produktu:
- Spring Web Services; >=5.0.0, <=5.0.1; >=4.1.0, <=4.1.3; >=4.0.0, <=4.0.18; >=3.1.0, <=3.1.8
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Více informací:
- CVE-2026-40999 na cve.org, NVD
- CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 6. 2026.
Neautentizovanému vzdálenému útočníkovi je kvůli zpracování nedůvěryhodného XML pomocí výchozí konfigurace DocumentBuilderFactory v Jaxp13XPathTemplate umožněno vykonat útok XXE, včetně možného vyzrazení citlivých souborů nebo vykonat útok SSRF [3].
Zranitelnost se nachází v produktu:
- Spring Web Services; >=5.0.0, <=5.0.1; >=4.1.0, <=4.1.3; >=4.0.0, <=4.0.18; >=3.1.0, <=3.1.8
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Více informací:
- CVE-2026-40998 na cve.org, NVD
- CWE-611: Improper Restriction of XML External Entity Reference na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 6. 2026.
Neautentizovanému vzdálenému útočníkovi je prostřednictvím specifikace JSON Patch ve Spring Data REST umožněno obejít read-only omezení a upravovat vnořené objekty či kolekce, protože systém neověřuje práva k zápisu u mezilehlých částí cesty (JSON Pointer) [4].
Zranitelnost se nachází v produktu:
- Spring Data REST; >=3.7.0, <=3.7.19; >=4.3.0, <=4.3.16; >=4.4.0, <=4.4.14; >=4.5.0, <=4.5.11; >=5.0.0, <=5.0.5
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Více informací:
- CVE-2026-41728 na cve.org, NVD
- CWE-639: Authorization Bypass Through User-Controlled Key na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 6. 2026.
Neautentizovanému vzdálenému útočníkovi je prostřednictvím zranitelných zprávových konvertorů ve Spring JMS umožněno vyvolat deserializaci libovolných gadget tříd, což vede k neoprávněným akcím. V nedůvěryhodných JMS prostředích aktualizujte na opravenou verzi a omezte povolené balíčky k deserializaci pomocí metod setTrustedPackages(String... trustedPackages) [5]
Zranitelnost se nachází v produktu:
- Spring Framework; >=7.0.0, <=7.0.7; >=6.2.0, <=6.2.18; >=6.1.0, <=6.1.27, >=5.3.0, <=5.3.48
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-41855 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zranitelnost byla veřejně oznámena 8. 6. 2026.
Neautentizovanému vzdálenému útočníkovi je kvůli nebezpečné deserializaci při zpracování stránkovaných GraphQL dotazů ve Spring for GraphQL umožněno spustit libovolný kód [6].
Zranitelnost se nachází v produktu:
- Spring for GraphQL; >=2.0.0, <=2.0.3; >=1.4.0, <=1.4.5; >=1.3.0, <=1.3.8
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2026-41699 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 6. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dne 11. 6. 2026.