CVE-2026-59282, CVE-2026-59281

Data: 2026-09-03

Severity: High

CVSS Score:

  • CVE-2026-59282: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

  • CVE-2026-59281: 6.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)

Nota

La severity e i CVSS Score si riferiscono alle vulnerabilità delle librerie. Come descritto nella sezione GovWay, le vulnerabilità non si manifestano nel prodotto, poiché GovWay non utilizza l’infrastruttura di data binding di Spring.

Riferimenti:

Libreria: org.springframework Spring Framework (versioni affette: 5.2.25.RELEASE e precedenti, 5.3.0 - 5.3.49, 6.0.0 - 6.0.30, 6.1.0 - 6.1.28, 6.2.0 - 6.2.19, 7.0.0 - 7.0.8)

Descrizione

Entrambe le vulnerabilità riguardano l’infrastruttura di data binding di Spring: la navigazione dei property path annidati (CVE-2026-59282) e il rendering degli errori di binding (CVE-2026-59281).

  1. [CVE-2026-59282] CWE-400: Uncontrolled Resource Consumption

Spring Framework applications that use Spring’s data binding infrastructure to apply user-supplied property paths onto a target object may be vulnerable to a Denial of Service (DoS) attack. Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19; 6.1.0 through 6.1.28; 6.0.0 through 6.0.30; 5.3.0 through 5.3.49; 5.2.25.RELEASE and earlier.

  1. [CVE-2026-59281] CWE-79: Improper Neutralization of Input During Web Page Generation (“Cross-site Scripting”)

Spring MVC and WebFlux applications that obtain a data-binding Errors instance with HTML escaping enabled and then render field errors using the no-argument Errors.getFieldErrors() or Errors.getFieldError() accessors are vulnerable to arbitrary HTML/JavaScript code injection, potentially resulting in a reflected cross-site scripting (XSS) vulnerability. Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19; 6.1.0 through 6.1.28; 6.0.0 through 6.0.30; 5.3.0 through 5.3.49; 5.2.25.RELEASE and earlier.

GovWay

Le classi coinvolte appartengono a moduli inclusi nella distribuzione di GovWay: DataBinder e Errors (spring-context), BeanWrapperImpl/AbstractNestablePropertyAccessor e DirectFieldAccessor (spring-beans), EscapedErrors (spring-web).

GovWay non utilizza il data binding di Spring: il prodotto non applica property path forniti dall’esterno su oggetti di destinazione, non istanzia DataBinder né accede alle proprietà tramite BeanWrapper, e non utilizza le API di validazione Errors/BindingResult. La deserializzazione dei messaggi in transito e dei parametri delle console è realizzata con stack propri (JAX-RS/Jackson), indipendenti dal data binding di Spring, che nel prodotto viene esercitato dal solo container di dependency injection su valori di configurazione statici.

La CVE-2026-59281 richiede inoltre il rendering degli errori di binding da parte delle view di Spring MVC/WebFlux, moduli non distribuiti da GovWay. Per questi motivi le vulnerabilità non si manifestano nel prodotto.

Le librerie di Spring Framework vengono comunque aggiornate alla prima versione in rilascio.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4