CVE-2026-47890, CVE-2026-59313

Data: 2026-09-03

Severity: Critical

CVSS Score:

  • CVE-2026-47890: 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)

  • CVE-2026-59313: 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)

Nota

La severity e i CVSS Score si riferiscono alle vulnerabilità delle librerie. Come descritto nella sezione GovWay, le vulnerabilità non si manifestano nel prodotto, poiché risiedono in moduli di Spring Framework (spring-webmvc / spring-webflux) non distribuiti da GovWay.

Riferimenti:

Libreria: org.springframework Spring Framework (versioni affette: 5.3.0 - 5.3.49, 6.0.0 - 6.0.30, 6.1.0 - 6.1.28, 6.2.0 - 6.2.19, 7.0.0 - 7.0.8)

Descrizione

Entrambe le vulnerabilità riguardano la generazione di flussi Server-Sent Events (SSE) da parte dello stack web di Spring.

  1. [CVE-2026-47890] CWE-93: Improper Neutralization of CRLF Sequences (“CRLF Injection”)

Spring MVC and WebFlux applications are vulnerable to stream corruption when using Server-Sent Events (SSE) with view fragments. Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19.

  1. [CVE-2026-59313] CWE-93: Improper Neutralization of CRLF Sequences (“CRLF Injection”)

Spring MVC applications using the functional web framework are vulnerable to stream corruption when using Server-Sent Events (SSE). Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19; 6.1.0 through 6.1.28; 6.0.0 through 6.0.30; 5.3.0 through 5.3.49.

GovWay

Le due vulnerabilità risiedono nei moduli spring-webmvc e spring-webflux di Spring Framework, nello specifico nella scrittura degli eventi SSE prodotti dal rendering dei view fragment (CVE-2026-47890) e dal functional web framework di Spring MVC (CVE-2026-59313).

Tali moduli non fanno parte della distribuzione di GovWay: il prodotto utilizza Spring esclusivamente come container di dependency injection (moduli spring-core, spring-beans, spring-context, spring-context-support, spring-expression), insieme a spring-aop/spring-aspects, spring-tx/spring-jdbc/spring-orm e spring-web; non integra Spring MVC né Spring WebFlux, non definisce RouterFunction e non espone endpoint Server-Sent Events basati su Spring: i propri servizi sono esposti tramite uno stack servlet/JAX-RS proprio. Per questi motivi le vulnerabilità non si manifestano nel prodotto.

Le librerie di Spring Framework vengono comunque aggiornate alla prima versione in rilascio.

Nota

Le vulnerabilità sono segnalate dai tool di analisi delle dipendenze (es. OWASP dependency-check) a carico dell’artefatto spring-core, in quanto l’NVD associa le vulnerabilità di Spring Framework alla CPE di prodotto cpe:2.3:a:vmware:spring_framework (con gli alias pivotal_software e springsource), senza distinguere il singolo modulo Maven. Il codice vulnerabile risiede tuttavia nei moduli spring-webmvc / spring-webflux, non distribuiti da GovWay.

Versione affette:

  • 3.3.x: <= 3.3.20 (limitatamente a CVE-2026-59313)

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4