CVE-2026-59283

Data: 2026-09-03

Severity: Critical

CVSS Score: 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H)

Nota

La severity e il CVSS Score si riferiscono alla vulnerabilità della libreria. Come descritto nella sezione GovWay, le condizioni necessarie allo sfruttamento (valutazione di espressioni SpEL fornite da input non fidato, in un SimpleEvaluationContext, con compilatore SpEL attivo) non sono presenti nel prodotto.

Riferimenti:

Libreria: org.springframework:spring-expression (versioni affette: 5.2.25.RELEASE e precedenti, 5.3.0 - 5.3.49, 6.0.0 - 6.0.30, 6.1.0 - 6.1.28, 6.2.0 - 6.2.19, 7.0.0 - 7.0.8)

Descrizione

CWE-913: Improper Control of Dynamically-Managed Code Resources

Applications that evaluate Spring Expression Language (SpEL) expressions using SimpleEvaluationContext may be vulnerable to a safety guard bypass when the SpEL expression compiler is active. Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19; 6.1.0 through 6.1.28; 6.0.0 through 6.0.30; 5.3.0 through 5.3.49; 5.2.25.RELEASE and earlier.

GovWay

Il modulo spring-expression è incluso nella distribuzione di GovWay in quanto dipendenza del container di dependency injection di Spring. SpEL viene utilizzato da Spring per la risoluzione delle espressioni #{...} presenti nei file di configurazione dei bean: si tratta di espressioni statiche, definite a tempo di sviluppo/configurazione e non influenzabili da input di runtime.

GovWay non valuta espressioni SpEL fornite da utenti o derivanti dal traffico applicativo (header, payload, parametri di richiesta o valori configurabili a runtime). Le funzionalità di valutazione di espressioni esposte dal prodotto si basano su motori distinti e indipendenti da SpEL (XPath, XQuery, JSONPath ed espressioni regolari).

Lo sfruttamento della vulnerabilità richiede inoltre due ulteriori condizioni, entrambe assenti nel prodotto: l’utilizzo della classe SimpleEvaluationContext, non impiegata da GovWay, e l’attivazione esplicita del compilatore SpEL (property spring.expression.compiler.mode impostata a IMMEDIATE o MIXED, oppure SpelParserConfiguration con il corrispondente SpelCompilerMode), che GovWay non abilita in alcuna configurazione. La vulnerabilità non si manifesta pertanto nel prodotto.

Le librerie di Spring Framework vengono comunque aggiornate alla prima versione in rilascio.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4