CVE-2026-40976
In determinate circostanze, la sicurezza web predefinita di Spring Boot risulta inefficace, consentendo accessi non autorizzati a tutti gli endpoint....
- Pubblicato
- 27 apr 2026
- Aggiornato
- 15 lug 2026
- Assegnazione CNA
- vmware
- Evidenza osservata
- 3 set 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NBasso · prossimi 30 giorni
- Percentile
- 44,0%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
In determinate circostanze, la sicurezza web predefinita di Spring Boot risulta inefficace, consentendo accessi non autorizzati a tutti gli endpoint. Affinché un'applicazione sia vulnerabile, deve: essere un'applicazione web basata su servlet; non avere una propria configurazione di Spring Security e fare affidamento sulla catena di filtri di sicurezza web predefinita; dipendere da spring-boot-actuator-autoconfigure; non dipendere da spring-boot-health. Se una qualsiasi delle condizioni precedenti non si applica, l'applicazione non è vulnerabile. Interessate: Spring Boot 4.0.0–4.0.5; aggiornare alla versione 4.0.6 o successiva secondo l'avviso del fornitore.
Fonti
Proof-of-concept exploit per CVE-2026-40976, che dimostra la vulnerabilità e il suo impatto per la ricerca e la validazione della sicurezza.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.