PT-2026-38331 · Vmware · Spring Cloud Config

August829 + 1 · Publicado 2026-05-07 · Atualizado 2026-05-07 · CVE-2026-41002

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Spring Cloud Config versões 3.1.0 até 3.1.13 Spring Cloud Config versões 4.1.0 até 4.1.9 Spring Cloud Config versões 4.2.0 até 4.2.6 Spring Cloud Config versões 4.3.0 até 4.3.2 Spring Cloud Config versões 5.0.0 até 5.0.2

Descrição O diretório base spring.cloud.config.server.git.basedir usado pelo Spring Cloud Config Server para clonar repositórios Git está suscetível a ataques de time-of-check-time-of-use (TOCTOU). TOCTOU é uma condição de corrida onde um sistema verifica o estado de um recurso e então executa uma ação com base nesse estado, mas o recurso é modificado entre a verificação e a ação.

Recomendações Atualizar versões 3.1.0 até 3.1.13 para 3.1.14 ou superior. Atualizar versões 4.1.0 até 4.1.9 para 4.1.10 ou superior. Atualizar versões 4.2.0 até 4.2.6 para 4.2.7 ou superior. Atualizar versões 4.3.0 até 4.3.2 para 4.3.3 ou superior. Atualizar versões 5.0.0 até 5.0.2 para 5.0.3 ou superior.

Correção

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2026-41002

GHSA-86WQ-234Q-R6WG

Produtos afetados

Spring Cloud Config

Referências · 8

• https://github.com/spring-cloud/spring-cloud-config · Nota
• https://twitter.com/CVEnew/status/2052400820998836495 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-86wq-234q-r6wg · Aviso do Fabricante
• https://spring.io/security/cve-2026-41002 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2052340713891746013 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2052362621312258498 · Publicação no Twitter
• https://t.me/cveNotify/162484 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-41002 · Nota de Segurança