CVE-2018-15758 in Spring Security OAuth
Tóm tắt
Bởi VulDB • 08/08/2026
Spring Security OAuth, các phiên bản 2.3 trước 2.3.4, và 2.2 trước 2.2.3, và 2.1 trước 2.1.3, và 2.0 trước 2.0.16, cùng với các phiên bản cũ không còn được hỗ trợ, có thể dễ bị tấn công do tăng quyền (privilege escalation) trong một số điều kiện nhất định. Một người dùng hoặc kẻ tấn công độc hại có thể tạo ra một yêu cầu gửi đến điểm cuối phê duyệt (approval endpoint), cho phép sửa đổi yêu cầu ủy quyền đã lưu trước đó và dẫn đến việc tăng quyền trên bước phê duyệt tiếp theo. Kịch bản này có thể xảy ra nếu ứng dụng được cấu hình để sử dụng một điểm cuối phê duyệt tùy chỉnh khai báo AuthorizationRequest là đối số của phương thức điều khiển (controller method argument). Lỗ hổng này ảnh hưởng đến các ứng dụng đáp ứng tất cả các yêu cầu sau: Đóng vai trò Máy chủ ủy quyền (Authorization Server) (ví dụ: @EnableAuthorizationServer) và sử dụng Điểm cuối phê duyệt tùy chỉnh khai báo AuthorizationRequest là đối số của phương thức điều khiển. Lỗ hổng này không ảnh hưởng đến các ứng dụng: Chỉ đóng vai trò Máy chủ tài nguyên (Resource Server) (ví dụ: @EnableResourceServer), hoặc chỉ đóng vai trò Khách hàng (Client) (ví dụ: @EnableOAuthClient).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.