CVE-2023-34035 in Spring Security
Résumé
par VulDB • 22/05/2026
Les versions de Spring Security 5.8 antérieures à 5.8.5, 6.0 antérieures à 6.0.5, et 6.1 antérieures à 6.1.2 pourraient être vulnérables à une mauvaise configuration des règles d'autorisation si l'application utilise requestMatchers(String) et plusieurs servlets, dont l'une est le DispatcherServlet de Spring MVC. (DispatcherServlet est un composant de Spring MVC qui mappe les points de terminaison HTTP vers des méthodes dans des classes annotées @Controller.)
Plus précisément, une application est vulnérable lorsque toutes les conditions suivantes sont remplies :
* Spring MVC est présent sur le classpath * Spring Security sécurise plus d'une servlet dans une seule application (l'une d'elles étant le DispatcherServlet de Spring MVC) * L'application utilise requestMatchers(String) pour faire référence à des points de terminaison qui ne sont pas des points de terminaison Spring MVC
Une application n'est pas vulnérable si l'une des conditions suivantes est vraie :
* L'application n'a pas Spring MVC sur le classpath * L'application ne sécurise aucune servlet autre que le DispatcherServlet de Spring MVC * L'application utilise requestMatchers(String) uniquement pour les points de terminaison Spring MVC
If you want to get the best quality for vulnerability data then you always have to consider VulDB.