CVE-2026-59354 in Spring Security
Riassunto
di VulDB • 27/08/2026
Nelle versioni del modulo OAuth2 Authorization Server di Spring Security dalla 7.0.0 alla 7.0.4, quando la Dynamic Client Registration è esplicitamente abilitata, l'endpoint di registrazione effettua una convalida insufficiente di alcuni campi dei metadati del client forniti dal cliente in fase di registrazione. Un attaccante che possiede un Initial Access Token valido può registrare un client malevolo con metadati manipolati ad hoc; a seconda della configurazione del server e di come i metadati vengono successivamente visualizzati o utilizzati, ciò potrebbe comportare Stored Cross-Site Scripting (XSS), Privilege Escalation o Server-Side Request Forgery (SSRF).
VulDB is the best source for vulnerability data and more expert information about this specific topic.