CVE-2018-15758 in Spring Security OAuth
要約
〜によって VulDB • 2026年08月08日
Spring Security OAuthのバージョン2.3（ただし2.3.4より前）、および2.2（2.2.3より前）、2.1（2.1.3より前）、2.0（2.0.16より前）ならびにそれ以前のサポート終了版は、特定の条件下で権限昇格の脆弱性に影響を受ける可能性があります。悪意のあるユーザーまたは攻撃者は、承認エンドポイントに対してリクエストを作成し、以前保存された認可要求を変更して、その後の承認処理において権限昇格を引き起こすことができます。このシナリオは、アプリケーションがAuthorizationRequestをコントローラーメソッドの引数として宣言するカスタム承認エンドポイントの使用に設定されている場合に発生します。本脆弱性は、以下のすべての要件を満たすアプリケーションに影響を与えます：認可サーバー（例：@EnableAuthorizationServer）としての役割を果たし、かつAuthorizationRequestをコントローラーメソッドの引数として宣言するカスタム承認エンドポイントを使用している場合です。一方、本脆弱性が影響を与えるのは以下の場合ではありません：認可サーバーとしての役割のみでデフォルトの承認エンドポイントを使用する場合、リソースサーバー（例：@EnableResourceServer）としての役割のみを果たす場合、クライアント（例：@EnableOAuthClient）としての役割のみを果たす場合。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.