PT-2025-42473 · Vmware+1 · Spring Framework+1

Publicado 2025-10-16 · Atualizado 2026-04-23 · CVE-2025-41254

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Spring Framework 5.3.0 a 5.3.45 Versões do Spring Framework 6.0.x a 6.0.29 Versões do Spring Framework 6.1.0 a 6.1.23 Versões do Spring Framework 6.2.0 a 6.2.11

Descrição Aplicações STOMP sobre WebSocket podem permitir que um invasor envie mensagens não autorizadas devido a um contorno de segurança. O problema afeta aplicações Spring Framework que utilizam STOMP.

Recomendações Atualize para a versão 6.2.12 do Spring Framework. Atualize para a versão 6.1.24 do Spring Framework. Não são necessárias etapas de mitigação adicionais para a versão 5.3.x após a atualização para a versão 5.3.46.

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CLEANSTART-2026-IS05941

CVE-2025-41254

GHSA-7FCH-4F2F-JCGM

Produtos afetados

Debian

Spring Framework

Referências · 63

• https://github.com/spring-projects/spring-framework · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-IS05941.json · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-22735 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-1225 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-4926 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2025-41254 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-1225 · Nota
• https://twitter.com/0dayPublishing/status/1978836893522366511 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1ob1a2r/resumen_diario_de_vulnerabilidades_19102025 · Publicação no Reddit
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-41254 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34487 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2025-66614 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-34483 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-34483 · Nota
• https://twitter.com/CVEnew/status/1978926598775570866 · Publicação no Twitter