CVE-2026-59270, CVE-2026-47841, CVE-2026-47877

Data: 2026-09-03

Severity: Critical

CVSS Score:

  • CVE-2026-59270: 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N)

  • CVE-2026-47841: 7.4 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N)

  • CVE-2026-47877: 6.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)

Nota

La severity e i CVSS Score si riferiscono alle vulnerabilità della libreria. Come descritto nella sezione GovWay, le vulnerabilità non si manifestano nel prodotto, poiché risiedono in moduli di Spring Security (spring-security-ldap, spring-security-webauthn e spring-security-oauth2-authorization-server) non distribuiti da GovWay.

Riferimenti:

Libreria: org.springframework.security Spring Security (versioni affette: 5.7.0 - 5.7.25, 5.8.0 - 5.8.27, 6.4.0 - 6.4.18, 6.5.0 - 6.5.11, 7.0.0 - 7.0.6, 7.1.0)

Descrizione

Le tre vulnerabilità riguardano moduli funzionali di Spring Security distinti dal nucleo di autenticazione e autorizzazione: il server LDAP embedded (spring-security-ldap), il supporto WebAuthn (spring-security-webauthn) e l’Authorization Server OAuth2 (spring-security-oauth2-authorization-server).

  1. [CVE-2026-59270] CWE-863: Incorrect Authorization

Spring Security’s embedded UnboundID LDAP server (UnboundIdContainer) unconditionally registers an administrative credential and binds its listener to all available network interfaces. Affected versions: Spring Security 7.1.0; 7.0.0 through 7.0.6; 6.5.0 through 6.5.11; 6.4.0 through 6.4.18; 5.8.0 through 5.8.27; 5.7.0 through 5.7.25.

  1. [CVE-2026-47841] CWE-863: Incorrect Authorization

An application using Spring Security’s WebAuthn support may be vulnerable to user verification bypass when using a distributed HTTP session store. Affected versions: Spring Security 7.1.0; 7.0.0 through 7.0.6; 6.5.0 through 6.5.11; 6.4.0 through 6.4.18.

  1. [CVE-2026-47877] CWE-79: Improper Neutralization of Input During Web Page Generation (“Cross-site Scripting”)

Spring Security Authorization Server’s default consent page renders user-controlled values without HTML entity encoding. Affected versions: Spring Security 7.1.0; 7.0.0 through 7.0.6.

GovWay

Le tre vulnerabilità risiedono in moduli di Spring Security che non fanno parte della distribuzione di GovWay: il prodotto include unicamente i moduli spring-security-core, spring-security-config, spring-security-web e spring-security-crypto; le funzionalità LDAP si basano sul progetto Spring LDAP (org.springframework.ldap:spring-ldap-core), distinto da spring-security-ldap. Per questi motivi le vulnerabilità non si manifestano nel prodotto.

Le librerie di Spring Security vengono comunque aggiornate alla prima versione in rilascio.

Nota

Le vulnerabilità sono segnalate dai tool di analisi delle dipendenze (es. OWASP dependency-check) a carico dell’artefatto spring-security-core, in quanto l’NVD associa le vulnerabilità di Spring Security alla CPE di prodotto cpe:2.3:a:vmware:spring_security senza distinguere il singolo modulo Maven. Il codice vulnerabile risiede tuttavia nei moduli spring-security-ldap, spring-security-webauthn e spring-security-oauth2-authorization-server, non distribuiti da GovWay.

Versione affette:

  • 3.3.x: <= 3.3.20 (limitatamente a CVE-2026-59270)

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4