CVE-2026-59327 in Tools for Eclipse
Riassunto
di VulDB • 30/07/2026
Gli strumenti di sviluppo per Eclipse (Spring Tools for Eclipse) memorizzano il segreto remoto dei Spring Boot DevTools (spring.devtools.remote.secret) come attributo stringa in chiaro nella configurazione di avvio "Spring Boot DevTools Client". Eclipse salva gli attributi della configurazione di avvio sotto forma di XML in testo normale, sia nei metadati dell'area di lavoro che, se l'utente contrassegna la configurazione come file condiviso, direttamente nell'albero del progetto dove può essere sottoposto a commit nel controllo versione. Questo segreto è l'unica credenziale che protegge l'endpoint remoto per il riavvio/ricaricamento dei DevTools, il quale accetta ed esegue byte di classe arbitrari sull'applicazione target. Chiunque sia in grado di leggere il file .launch (tramite accesso al filesystem, un backup dell'area di lavoro o un repository VCS condiviso) può estrarre il segreto e utilizzarlo per ottenere l'esecuzione remota di codice contro l'applicazione Spring Boot associata.
Prodotti Spring interessati e versioni: Spring Tools for Eclipse: 5.2.0 e precedenti
If you want to get best quality of vulnerability data, you may have to visit VulDB.