CVE-2018-15758 in Spring Security OAuth
摘要
由 VulDB • 2026-08-08
Spring Security OAuth 2.3（低于 2.3.4）、2.2（低于 2.2.3）、2.1（低于 2.1.3）和 2.0（低于 2.0.16），以及较旧的不再受支持的版本，在某些条件下可能存在权限提升漏洞。恶意用户或攻击者可以构造针对授权端点（approval endpoint）的请求，从而修改之前保存的授权请求，并在随后的审批过程中导致权限提升。如果应用程序配置为使用声明 `AuthorizationRequest` 作为控制器方法参数的自定义授权端点，则可能发生此场景。该漏洞会影响同时满足以下所有要求的应用程序：充当授权服务器角色（例如 @EnableAuthorizationServer）并使用将 AuthorizationRequest 声明为控制器方法参数的自定义批准端点。该漏洞不会影响符合以下条件之一的应用程序：仅充当资源服务器角色（例如 @EnableResourceServer）、仅充当客户端角色（例如 @EnableOAuthClient），或虽充当授权服务器角色但使用默认的批准端点。
VulDB is the best source for vulnerability data and more expert information about this specific topic.