Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] VMware Spring opravuje viac než 60 zraniteľností
VMware Spring v rámci doterajších júnových záplat opravuje 67 zraniteľností v rôznych produktoch. Najzávažnejšie z nich sú opísané nižšie. Úplný zoznam zraniteľností vrátane opravených verzií nájdete na [1] po rozkliknutí jednotlivých varovaní.
Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnému overeniu hlavičiek ReplyTo/FaultTo v Spring Web Services umožnené vykonať útok SSRF. Ak nie je možné vykonať aktualizáciu, obmedzte povolené ciele pre jednotlivé nakonfigurované odosielacie komponenty prepísaním metódy supports [2].
Zraniteľnosť sa nachádza v produkte:
- Spring Web Services; >=5.0.0, <=5.0.1; >=4.1.0, <=4.1.3; >=4.0.0, <=4.0.18; >=3.1.0, <=3.1.8
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Viac informácií:
- CVE-2026-40999 na cve.org, NVD
- CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 6. 2026.
Neautentizovanému vzdialenému útočníkovi je kvôli spracovaniu nedôveryhodného XML pomocou predvolenej konfigurácie DocumentBuilderFactory v Jaxp13XPathTemplate umožnené vykonať útok XXE, vrátane možného vyzradenia citlivých súborov, alebo vykonať útok SSRF [3].
Zraniteľnosť sa nachádza v produkte:
- Spring Web Services; >=5.0.0, <=5.0.1; >=4.1.0, <=4.1.3; >=4.0.0, <=4.0.18; >=3.1.0, <=3.1.8
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Viac informácií:
- CVE-2026-40998 na cve.org, NVD
- CWE-611: Improper Restriction of XML External Entity Reference na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 6. 2026.
Neautentizovanému vzdialenému útočníkovi je prostredníctvom špecifikácie JSON Patch v Spring Data REST umožnené obísť read-only obmedzenia a upravovať vnorené objekty či kolekcie, pretože systém neoveruje práva na zápis pri medziľahlých častiach cesty (JSON Pointer) [4].
Zraniteľnosť sa nachádza v produkte:
- Spring Data REST; >=3.7.0, <=3.7.19; >=4.3.0, <=4.3.16; >=4.4.0, <=4.4.14; >=4.5.0, <=4.5.11; >=5.0.0, <=5.0.5
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Viac informácií:
- CVE-2026-41728 na cve.org, NVD
- CWE-639: Authorization Bypass Through User-Controlled Key na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 6. 2026.
Neautentizovanému vzdialenému útočníkovi je prostredníctvom zraniteľných konvertorov správ v Spring JMS umožnené vyvolať deserializáciu ľubovoľných gadget tried, čo vedie k neoprávneným akciám. V nedôveryhodných prostrediach JMS aktualizujte na opravenú verziu a obmedzte povolené balíky na deserializáciu pomocou metód setTrustedPackages(String... trustedPackages) [5]
Zraniteľnosť sa nachádza v produkte:
- Spring Framework; >=7.0.0, <=7.0.7; >=6.2.0, <=6.2.18; >=6.1.0, <=6.1.27, >=5.3.0, <=5.3.48
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-41855 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 6. 2026.
Neautentizovanému vzdialenému útočníkovi je kvôli nebezpečnej deserializácii pri spracovaní stránkovaných GraphQL dopytov v Spring for GraphQL umožnené spustiť ľubovoľný kód [6].
Zraniteľnosť sa nachádza v produkte:
- Spring for GraphQL; >=2.0.0, <=2.0.3; >=1.4.0, <=1.4.5; >=1.3.0, <=1.3.8
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-41699 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 6. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 11. 6. 2026.