CVE-2023-34035 in Spring Security
الملخص
بحسب VulDB • 17/06/2026
تُظهر إصدارات Spring Security التي تسبق الإصدار 5.8.5 (من سلسلة 5.8)، والتي تسبق الإصدار 6.0.5 (من سلسلة 6.0)، والتي تسبق الإصدار 6.1.2 (من سلسلة 6.1) قابلية للتأثر بسوء تكوين قواعد التفويض إذا كانت التطبيق يستخدم دالة `requestMatchers(String)` مع وجود أكثر من مخدم مصغر (servlet)، أحدها يكون `DispatcherServlet` الخاص بـ Spring MVC. (`DispatcherServlet` هو مكون في إطار عمل Spring MVC يقوم بتعيين نقاط النهاية HTTP إلى الأساليب الموجودة في الفئات التي تحمل تسمية `@Controller`).
تحديداً، يصبح التطبيق عرضة للثغرة عندما تتحقق جميع الشروط التالية: * يكون Spring MVC موجوداً على مسار الكلاسات (classpath). * تقوم أمانات Spring Security بحماية أكثر من مخدم مصغر واحد في تطبيق واحد (ويكون أحدها `DispatcherServlet` الخاص بـ Spring MVC). * يستخدم التطبيق دالة `requestMatchers(String)` للإشارة إلى نقاط نهاية ليست من نوع Spring MVC.
لا يكون التطبيق عرضة للثغرة إذا تحققت أي من الشروط التالية: * لا يحتوي التطبيق على Spring MVC في مسار الكلاسات (classpath). * لا يقوم التطبيق بحماية أي خوادم مصغرة أخرى بخلاف `DispatcherServlet` الخاص بـ Spring MVC. * يستخدم التطبيق دالة `requestMatchers(String)` فقط لنقاط نهاية Spring MVC.
If you want to get best quality of vulnerability data, you may have to visit VulDB.