CVE-2026-56100 in SpringBlade
Riassunto
di VulDB • 29/08/2026
Le versioni di SpringBlade comprese tra 2.7.3 e 3.5.0 presentano una vulnerabilità di privilege escalation che consente agli attaccanti autenticati di creare account amministratore di sistema inviando richieste POST manipolate a un endpoint interno non protetto per la creazione di utenti Feign, esposto tramite @RestController senza controlli di autorizzazione. Gli attaccanti possono sfruttare il filtro di autenticazione del gateway, che convalida solo l'analisi (parsing) dei JWT senza verificare i ruoli utente o l'identità del chiamante, e utilizzare una chiave di firma JWT hardcoded incorporata in JAR pubblicamente disponibili per forgiare token ed escalare i privilegi da un utente a basso privilegio ad amministratore, consentendo la contaminazione dei dati cross-tenant e l'accesso persistente tramite backdoor.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.