CVE-2026-47891, CVE-2026-47892, CVE-2026-47893

Data: 2026-09-03

Severity: Critical

CVSS Score:

  • CVE-2026-47891: 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)

  • CVE-2026-47892: 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)

  • CVE-2026-47893: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

Nota

La severity e i CVSS Score si riferiscono alle vulnerabilità delle librerie. Come descritto nella sezione GovWay, le vulnerabilità non si manifestano nel prodotto, poiché risiedono nel modulo Spring WebFlux (spring-webflux) non distribuito da GovWay.

Riferimenti:

Libreria: org.springframework Spring Framework (versioni affette: 5.2.25.RELEASE e precedenti, 5.3.0 - 5.3.49, 6.0.0 - 6.0.30, 6.1.0 - 6.1.28, 6.2.0 - 6.2.19, 7.0.0 - 7.0.8)

Descrizione

Le tre vulnerabilità riguardano il modulo spring-webflux di Spring Framework, ovvero lo stack web reattivo.

  1. [CVE-2026-47891] CWE-770: Allocation of Resources Without Limits or Throttling

A Spring WebFlux application that relies on the Aalto XML processor to parse XML input does not correctly enforce the maxInMemorySize limit. Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19; 6.1.0 through 6.1.28; 6.0.0 through 6.0.30; 5.3.0 through 5.3.49; 5.2.25.RELEASE and earlier.

  1. [CVE-2026-47892] CWE-863: Incorrect Authorization

A WebFlux application using functional endpoints and deployed with DispatcherServlet may be vulnerable to a header predicate bypass in a pre-flight request. Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19; 6.1.0 through 6.1.28; 6.0.0 through 6.0.30; 5.3.0 through 5.3.49; 5.2.5.RELEASE through 5.2.25.RELEASE.

  1. [CVE-2026-47893] CWE-209: Generation of Error Message Containing Sensitive Information

A Spring WebFlux application that supports WebSocket connections may expose indirectly sensitive user information by including request headers in an exception reason. Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19; 6.1.0 through 6.1.28; 6.0.0 through 6.0.30; 5.3.0 through 5.3.49; 5.2.25.RELEASE and earlier.

GovWay

Le tre vulnerabilità risiedono nel modulo spring-webflux di Spring Framework: nella decodifica XML reattiva basata sul processore Aalto (CVE-2026-47891), nella valutazione dei predicate sugli header degli endpoint funzionali durante le richieste di pre-flight CORS (CVE-2026-47892) e nella gestione dell”handshake WebSocket (CVE-2026-47893).

Tale modulo non fa parte della distribuzione di GovWay: il prodotto non integra Spring WebFlux e non utilizza lo stack web reattivo di Spring per la ricezione delle richieste; la gestione delle richieste, la decodifica dei messaggi XML, il supporto CORS e gli eventuali endpoint WebSocket sono realizzati tramite uno stack servlet/JAX-RS proprio, indipendente da Spring. Per questi motivi le vulnerabilità non si manifestano nel prodotto.

Le librerie di Spring Framework vengono comunque aggiornate alla prima versione in rilascio.

Nota

Le vulnerabilità sono segnalate dai tool di analisi delle dipendenze (es. OWASP dependency-check) a carico dell’artefatto spring-core, in quanto l’NVD associa le vulnerabilità di Spring Framework alla CPE di prodotto cpe:2.3:a:vmware:spring_framework (con gli alias pivotal_software e springsource), senza distinguere il singolo modulo Maven. Il codice vulnerabile risiede tuttavia nel modulo spring-webflux, non distribuito da GovWay.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4