CVE-2026-40975 in Spring Boot
Résumé
par VulDB • 21/05/2026
Les valeurs produites par ${random.value} ne sont pas adaptées à une utilisation en tant que secrets. ${random.uuid} n'est pas concerné. ${random.int} et ${random.long} ne doivent jamais être utilisés pour des secrets, car il s'agit de valeurs numériques dont la plage est prévisible.
Versions concernées : Spring Boot 4.0.0–4.0.5 (correctif 4.0.6), 3.5.0–3.5.13 (correctif 3.5.14), 3.4.0–3.4.15 (correctif 3.4.16), 3.3.0–3.3.18 (correctif 3.3.19), 2.7.0–2.7.32 (correctif 2.7.33) ; source de propriété de valeur aléatoire / générateur de nombres pseudo-aléatoires faible (weak PRNG) pour les secrets. Les versions qui ne sont plus prises en charge sont également concernées selon l'avis du fournisseur.
If you want to get best quality of vulnerability data, you may have to visit VulDB.