PT-2024-28233 · Vmware+1 · Vmware Spring+1

Marek Parfianowicz · Publicado 2024-10-17 · Atualizado 2026-05-18 · CVE-2024-38820

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do VMware Spring anteriores à 6.1.13

Descrição

O problema diz respeito a controles de acesso inadequados por meio do DataBinder e do String.toLowerCase(), que apresentam exceções dependentes da configuração regional. Isso pode fazer com que os campos não sejam protegidos conforme o esperado, levando potencialmente a um acesso não autorizado.

Recomendações

Para versões anteriores à 6.1.13, atualize os componentes afetados imediatamente para resolver o problema. Como solução temporária, considere restringir o acesso a campos confidenciais até que a atualização seja aplicada.

Correção

Enumeração de Fraquezas

CWE-178

Identificadores relacionados

CLEANSTART-2026-SQ91016

CLEANSTART-2026-WK99982

CVE-2024-38820

GHSA-4GC7-5J7H-4QPH

Produtos afetados

Debian

Vmware Spring

Referências · 165

• https://github.com/spring-projects/spring-framework · Nota
• https://github.com/spring-projects/spring-framework/commits/v6.2.0-RC2 · Nota
• https://github.com/spring-projects/spring-framework/commit/23656aebc6c7d0f9faff1080981eb4d55eff296c · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-SQ91016.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-WK99982.json · Nota
• https://twitter.com/CVEnew/status/1847153524955566473 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42583 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-24970 · Nota de Segurança
• https://t.me/cvenotify/98708 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-5588 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-58057 · Nota de Segurança
• https://twitter.com/snicoll/status/1846928920135827735 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-6763 · Nota de Segurança
• https://twitter.com/oktsec/status/1847180209709019579 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-25193 · Nota