CVE-2022-31692
Spring Security, versioni 5.7 precedenti alla 5.7.5 e 5.6 precedenti alla 5.6.9, potrebbero essere soggette a bypass delle regole di autorizzazione tramite...
- Pubblicato
- 31 ott 2022
- Aggiornato
- 6 mag 2025
- Assegnazione CNA
- vmware
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 88,6%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Spring Security, versioni 5.7 precedenti alla 5.7.5 e 5.6 precedenti alla 5.6.9, potrebbero essere soggette a bypass delle regole di autorizzazione tramite i tipi di dispatcher forward o include. Nello specifico, un'applicazione è vulnerabile quando tutte le seguenti condizioni sono vere: L'applicazione prevede che Spring Security applichi la sicurezza ai tipi di dispatcher forward e include. L'applicazione utilizza AuthorizationFilter manualmente o tramite il metodo authorizeHttpRequests(). L'applicazione configura FilterChainProxy per applicarsi alle richieste forward e/o include (ad es. spring.security.filter.dispatcher-types = request, error, async, forward, include). L'applicazione può inoltrare o includere la richiesta verso un endpoint protetto con privilegi più elevati.L'applicazione configura Spring Security per applicarsi a ogni tipo di dispatcher tramite authorizeHttpRequests().shouldFilterAllDispatcherTypes(true)
Fonti
Un progetto che dimostra un'app vulnerabile al bypass dell'autorizzazione di Spring Security CVE-2022-31692
Dimostra il bypass dell'autorizzazione Spring Security CVE-2022-31692 con un exploit Java minimale, consentendo ai ricercatori di sicurezza di testare e comprendere la vulnerabilità.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.