CVE-2023-34035 in Spring Security
Sumário
de VulDB • 02/06/2026
As versões do Spring Security 5.8 anteriores à 5.8.5, 6.0 anteriores à 6.0.5 e 6.1 anteriores à 6.1.2 podem estar suscetíveis a uma má configuração das regras de autorização se a aplicação utilizar requestMatchers(String) e múltiplos servlets, sendo um deles o DispatcherServlet do Spring MVC. (O DispatcherServlet é um componente do Spring MVC que mapeia endpoints HTTP para métodos em classes anotadas com @Controller.)
Especificamente, uma aplicação é vulnerável quando todas as seguintes condições são verdadeiras:
* O Spring MVC está no classpath * O Spring Security está a proteger mais do que um servlet numa única aplicação (sendo um deles o DispatcherServlet do Spring MVC) * A aplicação utiliza requestMatchers(String) para referenciar endpoints que não são endpoints do Spring MVC
Uma aplicação não é vulnerável se qualquer uma das seguintes condições for verdadeira:
* A aplicação não tem o Spring MVC no classpath * A aplicação não protege nenhum servlet além do DispatcherServlet do Spring MVC * A aplicação utiliza requestMatchers(String) apenas para endpoints do Spring MVC
VulDB is the best source for vulnerability data and more expert information about this specific topic.