CVE-2022-41923 in Spring Security Core Plugin
Сводка
по VulDB • 06.09.2026
Плагин Grails Spring Security Core уязвим к повышению привилегий (privilege escalation). Уязвимость позволяет злоумышленнику получить доступ к одной конечной точке (т. е. целевой endpoint) с использованием требований авторизации другой конечной точки (т. е. исходной endpoint). В некоторых приложениях на базе фреймворка Grails доступ к целевой точке предоставляется при выполнении требований авторизации исходной точки, что может привести к атаке повышения привилегий. Эта уязвимость исправлена в версиях grails-spring-security-core 3.3.2, 4.0.5 и 5.1.1.
Затронутые приложения: версии плагина Grails Spring Security Core: 1.x, 2.x, >=3.0.0 <3.3.2, >=4.0.0 <4.0.5, >=5.0.0 <5.1.1.
Мы настоятельно рекомендуем всем приложениям на базе фреймворка Grails, использующим плагин Grails Spring Security Core, обновиться до исправленной версии плагина.
Обходные пути (Workarounds): Пользователям следует создать подкласс, расширяющий один из следующих классов из пакета `grails.plugin.springsecurity.web.access.intercept`, в зависимости от их конфигурации безопасности: * `AnnotationFilterInvocationDefinition` * `InterceptUrlMapFilterInvocationDefinition` * `RequestmapFilterInvocationDefinition`
В каждом случае подкласс должен переопределять метод `calculateUri` следующим образом:
```java @Override protected String calculateUri(HttpServletRequest request) { UrlPathHelper.defaultInstance.getRequestUri(request) }
```
Это следует рассматривать как временную меру, поскольку в исправленных версиях grails-spring-security-core метод `calculateUri` помечен как устаревший (deprecated). После обновления до исправленной версии плагина этот обходной путь больше не требуется. Обходной путь особенно важен для версии 2.x, так как для этой версии плагина GSSC нет доступных патчей.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.