PT-2026-34251 · Vmware · Spring Security

Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-22747

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions Spring Spring Security versões 7.0.0 a 7.0.4

Description O SubjectX500PrincipalExtractor não lida corretamente com certos valores de CN de certificados X.509 malformados. Esta falha pode levar o sistema a ler o nome de usuário incorreto, permitindo que um invasor, utilizando um certificado cuidadosamente elaborado, se passe por outro usuário.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-297

Identificadores relacionados

CVE-2026-22747

GHSA-2JRG-RF5X-568G

Produtos afetados

Spring Security

Referências · 7

• https://github.com/spring-projects/spring-security · Nota
• https://github.com/spring-projects/spring-security/commit/88118afb8f9357ae7cc215500a441e89fee701c3 · Nota
• https://spring.io/security/cve-2026-22747 · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2047430012328976631 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22747 · Nota de Segurança
• https://twitter.com/CVEnew/status/2047428160183263533 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-2jrg-rf5x-568g · Aviso do Fabricante