Unknown · Spring Security · CVE-2022-22978
**Nome do software vulnerável e versões afetadas**
Versões do Spring Security anteriores à 5.4.11
Versões do Spring Security anteriores à 5.5.7
Versões do Spring Security anteriores à 5.6.4
Versões antigas e sem suporte do Spring Security
**Descrição**
O problema está relacionado ao componente RegexRequestMatcher no Spring Security, que pode ser configurado incorretamente, permitindo a contornar a autorização em alguns contêineres de servlet. Aplicativos que utilizam o RegexRequestMatcher com `.` na expressão regular podem estar vulneráveis. A vulnerabilidade pode ser explorada por um invasor remoto para elevar seus privilégios. O problema pode ser acionado utilizando símbolos como %0d ou %0a.
**Recomendações**
Para versões do Spring Security anteriores à 5.4.11, atualize para a versão 5.4.11 ou posterior.
Para versões do Spring Security anteriores à 5.5.7, atualize para a versão 5.5.7 ou posterior.
Para versões do Spring Security anteriores à 5.6.4, atualize para a versão 5.6.4 ou posterior.
Para versões mais antigas e sem suporte do Spring Security, considere atualizar para uma versão com suporte.
Como solução alternativa temporária, considere evitar o uso de `.` na expressão regular para o RegexRequestMatcher até que um patch esteja disponível.
Restrinja o acesso ao componente RegexRequestMatcher para minimizar o risco de exploração.