PT-2026-34042 · Spring · Spring Security

Jinyeong Seol + 1 · Publicado 2026-04-21 · Atualizado 2026-05-01 · CVE-2026-22751

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Spring Spring Security versões 6.4.0 até 6.4.15 Spring Spring Security versões 6.5.0 até 6.5.9 Spring Spring Security versões 7.0.0 até 7.0.4

Description Aplicações que configuram explicitamente o login de Token de Uso Único usando JdbcOneTimeTokenService estão sujeitas a uma condição de corrida de Tempo de Verificação ao Tempo de Uso (TOCTOU). Uma condição de corrida TOCTOU ocorre quando um programa verifica o estado de um recurso e, em seguida, executa uma ação com base nesse estado, mas o estado muda entre a verificação e a ação.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2026-22751

GHSA-X2WQ-9X2F-FHJ7

Produtos afetados

Spring Security

Referências · 9

• https://github.com/spring-projects/spring-security/commit/4187af38b251fc97fdf9949f7869618111e6e261 · Nota
• https://github.com/spring-projects/spring-security · Nota
• https://github.com/spring-projects/spring-security/commit/163772775036c4146815a5266874278c6f45f047 · Nota
• https://spring.io/security/cve-2026-22751 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2046674991769321814 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-x2wq-9x2f-fhj7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-22751 · Nota de Segurança
• https://t.me/cveNotify/161708 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2046776686289576428 · Publicação no Twitter