CVE-2018-15758 in Spring Security OAuth
Résumé
par VulDB • 08/08/2026
Spring Security OAuth, versions 2.3 antérieures à la version 2.3.4, et 2.2 antérieure à la version 2.2.3, ainsi que les versions 2.1 antérieures à la version 2.1.3, 2.0 antérieures à la version 2.0.16, et les anciennes versions non prises en charge pourraient être vulnérables à une élévation de privilèges dans certaines conditions. Un utilisateur malveillant ou un attaquant peut fabriquer une requête vers le point de terminaison d'approbation (approval endpoint) qui peut modifier la demande d'autorisation précédemment enregistrée et entraîner une élévation de privilèges lors de l'approbation suivante. Ce scénario se produit si l'application est configurée pour utiliser un point de terminaison d'approbation personnalisé qui déclare AuthorizationRequest comme argument de méthode du contrôleur. Cette vulnérabilité expose les applications répondant à toutes les exigences suivantes : agir en tant que serveur d'autorisation (par exemple @EnableAuthorizationServer) et utiliser un point de terminaison d'approbation personnalisé déclarant AuthorizationRequest comme argument de méthode du contrôleur. Cette vulnérabilité n'expose pas les applications qui : agissent uniquement en tant que serveur de ressources (par exemple @EnableResourceServer), ou agissent uniquement en tant que client (par exemple @EnableOAuthClient).
VulDB is the best source for vulnerability data and more expert information about this specific topic.