PT-2026-24206 · Unknown+1 · Spring Security+8
CVE-2026-2742
·
Publicado
2026-03-10
·
Atualizado
2026-05-27
CVSS v4.0
5.3
Média
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:L/S:N/AU:Y/R:A/V:D/RE:L/U:Amber |
Nome do Software Vulnerável e Versões Afetadas
Versões do Vaadin 14.0.0 a 14.14.0
Versões do Vaadin 23.0.0 a 23.6.6
Versões do Vaadin 24.0.0 a 24.9.7
Versões do Vaadin 25.0.0 a 25.0.1
Descrição
Existe um problema de bypass de autenticação em aplicações que utilizam o Spring Security. Acessar o endpoint
/VAADIN sem barra final contorna os filtros de segurança, permitindo que usuários não autenticados acionem a inicialização do framework e criem sessões sem autorização adequada.Recomendações
As versões do Vaadin 14.0.0 a 14.14.0 devem ser atualizadas para a versão 14.14.1.
As versões do Vaadin 23.0.0 a 23.6.6 devem ser atualizadas para a versão 23.6.7.
As versões do Vaadin 24.0.0 a 24.9.7 devem ser atualizadas para a versão 24.9.8.
As versões do Vaadin 25.0.0 a 25.0.1 devem ser atualizadas para a versão 25.0.2 ou superior.
Exploit
Correção
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Spring Security
Vaadin 14.0.0
Vaadin 14.14.0
Vaadin 23.0.0
Vaadin 23.6.6
Vaadin 24.0.0
Vaadin 24.9.7
Vaadin 25.0.0
Vaadin 25.0.1