PT-2026-34250 · Vmware · Spring Security

Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-22746

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.7

Baixa

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

Name of the Vulnerable Software and Affected Versions Spring Security versões 5.7.0 até 5.7.22 Spring Security versões 5.8.0 até 5.8.24 Spring Security versões 6.3.0 até 6.3.15 Spring Security versões 6.5.0 até 6.5.9 Spring Security versões 7.0.0 até 7.0.4

Description Existe um problema onde a defesa contra ataques de temporização do DaoAuthenticationProvider pode ser burlada para usuários que estão desativados, expirados ou bloqueados. Isso ocorre se uma aplicação utilizar os atributos UserDetails isEnabled, isAccountNonExpired ou isAccountNonLocked para gerenciar o status do usuário.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-208

Identificadores relacionados

CVE-2026-22746

GHSA-VXF7-QJ7Q-83FH

Produtos afetados

Spring Security

Referências · 6

• https://github.com/spring-projects/spring-security · Nota
• https://spring.io/security/cve-2026-22746 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vxf7-qj7q-83fh · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2047430029018018235 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2047428161126965414 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22746 · Nota de Segurança