PT-2026-34252 · Spring · Spring Security

Publicado 2026-04-22 · Atualizado 2026-05-25 · CVE-2026-22748

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Name of the Vulnerable Software and Affected Versions Spring Spring Security versões 6.3.0 até 6.3.14 Spring Spring Security versões 6.4.0 até 6.4.14 Spring Spring Security versões 6.5.0 até 6.5.9 Spring Spring Security versões 7.0.0 até 7.0.4

Description Existe um problema quando uma aplicação configura a decodificação de JWT utilizando NimbusJwtDecoder ou NimbusReactiveJwtDecoder. Nesses casos, um OAuth2TokenValidator<Jwt> deve ser configurado separadamente, por exemplo, chamando a função setJwtValidator.

Recommendations Para as versões 6.3.0 até 6.3.14, configure um OAuth2TokenValidator<Jwt> separadamente chamando setJwtValidator ao usar NimbusJwtDecoder ou NimbusReactiveJwtDecoder. Para as versões 6.4.0 até 6.4.14, configure um OAuth2TokenValidator<Jwt> separadamente chamando setJwtValidator ao usar NimbusJwtDecoder ou NimbusReactiveJwtDecoder. Para as versões 6.5.0 até 6.5.9, configure um OAuth2TokenValidator<Jwt> separadamente chamando setJwtValidator ao usar NimbusJwtDecoder ou NimbusReactiveJwtDecoder. Para as versões 7.0.0 até 7.0.4, configure um OAuth2TokenValidator<Jwt> separadamente chamando setJwtValidator ao usar NimbusJwtDecoder ou NimbusReactiveJwtDecoder.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2026-22748

GHSA-CVC6-Q2CP-2XHW

Produtos afetados

Spring Security

Referências · 6

• https://github.com/spring-projects/spring-security · Nota
• https://twitter.com/CVEnew/status/2047428159126265857 · Publicação no Twitter
• https://osv.dev/vulnerability/ROOT-APP-MAVEN-CVE-2026-22748 · Aviso do Fabricante
• https://spring.io/security/cve-2026-22748 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-22748 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-cvc6-q2cp-2xhw · Aviso do Fabricante