Spring Boot
Уязвимости
19
Эксплуатируемые
0
Макс. CVSS
10
Макс. EPSS
0.72782
Распределение по критичности
Критический
7
Высокий
8
Средний
4
Низкий
0
Затронутые диапазоны версий
2.7.0–2.7.172.7.0–2.7.333.4.0–3.4.153.5.0–3.5.144.0.0–4.0.6< 1.3.2< 1.5.9< 2.2.11< 2.5.14< 2.5.15< 2.7.32< 2.7.33≤ 1.5.9≥ 2.3.1
Также сопоставлено как (исходные строки): spring_boot,shiro,sa-token
Топ уязвимостей
CVE-2017-8046Вредоносные PATCH-запросы, отправленные на серверы, использующие Spring Data REST версий до 2.6.9 (Ingalls SR9), версий до 3.0.1 (Kay SR1) и Spring Boot версий до 1.5.9, 2.0 M6, могут использовать специально созданные данные JSON для выполнения произвольного кода Java.
CVE-2026-40974Автоконфигурация Кассандры от Spring Boot не выполняет проверку имени хоста при установлении SSL-соединения с Кассандрой.
Затронутые: Spring Boot 4.0.0-4.0.5 (фикс 4.0.6), 3.5.0-3.15 (фикс 3.5.14), 3.4.0-3.15 (фикс 3.4.16), 3.3.03.3.18 (фикс 3.3.19), 2.7.0-2.7.32 (фикс 2.7.33); автоконфигурация Кассандры SSL. Версии, которые больше не поддерживаются, также затрагиваются в соответствии с рекомендациями поставщика.
CVE-2023-44794Проблема в Dromara SaToken версии 1.36.0 и ранее позволяет удаленному злоумышленнику повысить привилегии через специально созданную полезную нагрузку в URL.
CVE-2023-20873В Spring Boot версий 3.0.0 - 3.0.5, 2.7.0 - 2.7.10 и более старых неподдерживаемых версиях приложение, развернутое в Cloud Foundry, может быть подвержено обходу системы безопасности. Пользователям уязвимых версий следует применить следующие меры по смягчению последствий: пользователям 3.0.x следует обновиться до 3.0.6+. Пользователям 2.7.x следует обновиться до 2.7.11+. Пользователям более старых, неподдерживаемых версий следует обновиться до 3.0.6+ или 2.7.11+.
CVE-2021-26987Плагин Element для vCenter Server включает SpringBoot Framework. Версии SpringBoot Framework до 1.3.2 подвержены уязвимости, успешное использование которой может привести к удаленному выполнению кода. Все версии плагина Element для vCenter Server, версии служб управления до 2.17.56 и версии узлов управления до 12.2 содержат уязвимые версии SpringBoot Framework.
CVE-2026-40976В определенных обстоятельствах веб-безопасность Spring Boot по умолчанию неэффективна, позволяя несанкционированный доступ ко всем конечным точкам. Чтобы приложение было уязвимым, оно должно: быть веб-приложением на основе сервлета; не иметь собственной конфигурации Spring Security и полагаться на цепочку фильтров веб-безопасности по умолчанию; зависеть от пружины-загрузки-привода-автоматизатора; не зависеть от пружины-загрузки-здоровье. Если что-либо из вышеперечисленного не применяется, приложение не является уязвимым.
Затронутые: Spring Boot 4.0.0-4.0.5; обновление до 4.0.6 или более поздней версии для каждого поставщика.
CVE-2026-40971При настройке для использования пакета SSL автоконфигурация RabbitMQ от Spring Boot не выполняет проверку имени хоста при подключении к брокеру RabbitMQ.
Затронутые: весенняя сапачка 4.0.0-4.0.5 (фикс 4.0.6), 3.5.03.5.13 (фикс 3.5.14) в качестве консультанта.
CVE-2026-22733Приложения Spring Boot с приводом могут быть уязвимы к уязвимости «Обход аутентификации», когда конечная точка приложения, требующая аутентификации, объявляется под пути, используемым конечными точками CloudFoundry Actuator. Эта проблема влияет на безопасность весеннего времени: от 4.0.0 до 4.0.3, от 3.5.0 до 3.5.11, с 3.4.0 до 3.4.14, от 3.3.0 до 3.3.17, от 2.7.0 до 2.7.
CVE-2026-22731Приложения Spring Boot с помощью Actuator могут быть уязвимы к уязвимости «Обход аутентификации», когда конечная точка приложения, требующая аутентификации, объявлена под определенным путем, уже настроенным для дополнительного пути Health Group.
Эта проблема затрагивает Spring Boot: от 4.0 до 4.0.3, от 3.5 до 3.5.11, от 3.4 до 3.4.15.
Этот CVE похож, но не эквивалентен CVE-2026-22733, поскольку условия для эксплойта и уязвимые версии различны.
CVE-2022-27772Версии spring-boot до версии v2.2.11.RELEASE были уязвимы для захвата временного каталога. Эта уязвимость затронула метод org.springframework.boot.web.server.AbstractConfigurableWebServerFactory.createTempDir. ПРИМЕЧАНИЕ. Эта уязвимость затрагивает только продукты и/или версии, которые больше не поддерживаются мейнтейнером.
CVE-2026-40975Значения, производимые по ${random.value}, не подходят для использования в качестве секретов. ${random.uuid} не затрагивается. ${random.int} и ${random.long} никогда не должны использоваться для секретов, поскольку они являются числовыми значениями с предсказуемым диапазоном.
Затронул: Весенний сапог 4.0.0-4.0.5 (фикс 4.0.6), 3.5.3.15 (фикс 3.5.14), 3.4.0-3.4.15 (фикс 3.4.16), 3.3.03.3.18 (фикс 3.3.19), 2.7.0-2.7.32 (фикс 2.7.33); источник случайной стоимости свойства / слабый PRNG для секретов. Версии, которые больше не поддерживаются, также затрагиваются в соответствии с рекомендациями поставщика.
CVE-2026-40972Агнтелю в той же сети, что и удаленное приложение, может использовать атаку времени для обнаружения информации об удаленном секрете. В экстремальных обстоятельствах это может привести к тому, что злоумышленник определит секрет и загрузит измененные классы, тем самым совершив удаленное выполнение кода в удаленном приложении.
Затронуты: Spring Boot 4.0.0-4.0.5 (фикс 4.0.6), 3.5.03.5.13 (фикс 3.5.14), 3.4.0-3.15 (фикс 3.4.16), 3.3.03.3.18 (фикс 3.3.19), 2.7.0-2.7.32 (фикс 2.7.33); DevTools дистанционное сетечное сравнение. Версии, которые больше не поддерживаются, также затрагиваются в соответствии с рекомендациями поставщика.
CVE-2023-22602При использовании Apache Shiro до версии 1.11.0 вместе с Spring Boot 2.6+ специально созданный HTTP-запрос может вызвать обход аутентификации.
Обход аутентификации происходит, когда Shiro и Spring Boot используют разные методы сопоставления шаблонов. По умолчанию Shiro и Spring Boot < 2.6 используют сопоставление шаблонов в стиле Ant.
Решение: Обновите Apache Shiro до версии 1.11.0 или установите следующее значение конфигурации Spring Boot: `spring.mvc.pathmatch.matching-strategy = ant_path_matcher`
CVE-2023-20883В Spring Boot версий 3.0.0 - 3.0.6, 2.7.0 - 2.7.11, 2.6.0 - 2.6.14, 2.5.0 - 2.5.14 и более старых неподдерживаемых версиях существует потенциальная возможность атаки типа "отказ в обслуживании" (DoS), если Spring MVC используется вместе с обратным прокси-сервером.
CVE-2026-40973Местный злоумышленник на том же хосте, что и приложение, может иметь возможность взять под контроль каталог, используемый `ApplicationTemp`. Когда «server.servlet.session.session.persistent`» установлен на «тверть» и атака сохраняется в перезапусках приложений, это может позволить злоумышленнику прочитать информацию о сеансе и похитить аутентифицированных пользователей или развернуть цепочку гаджетов и выполнить код в качестве пользователя приложения.
Затрагиваемые: Spring Boot 4.0.0-4.0.5 (фикс 4.0.6), 3.5.0-3.15 (фикс 3.5.14), 3.4.0-3.15 (фикс 3.4.16), 3.3.03-3.3.18 (фикс 3.3.19), 2.7.0-2.7.32 (фикс 2.7.33); предсказуемый временной каталог / `ApplicationTemp` Версии, которые больше не поддерживаются, также затрагиваются в соответствии с рекомендациями поставщика.
CVE-2026-40970При настройке для использования SSL-пакета автоконфигурация Elasticsearch от Spring Boot не выполняет проверку имени хоста при подключении к серверу Elasticsearch.
Затронутые: Spring Boot 4.0.0-4.0.5; обновление до 4.0.6 или более поздней версии для одного поставщика.
CVE-2018-1196Spring Boot поддерживает встроенный скрипт запуска, который можно использовать для простого запуска приложения в качестве службы systemd или init.d linux. Скрипт, включенный в Spring Boot 1.5.9 и более ранних версий и 2.0.0.M1 через 2.0.0.M7, подвержен атаке с использованием символических ссылок, которая позволяет "run_user" перезаписывать и принимать права владения любым файлом в той же системе. Чтобы спровоцировать атаку, приложение должно быть установлено как служба, а "run_user" требует доступа к оболочке на сервере. Приложение Spring Boot, которое не установлено как служба или не использует встроенный скрипт запуска, не подвержено уязвимости.
CVE-2026-40977Когда приложение настроено на использование `ApplicationPidFileWriter`, локальный злоумышленник с доступом к записи файла PID может повредить один файл на хосте каждый раз, когда приложение запускается.
Затронул: Spring Boot 4.0.0-4.0.5 (фикс 4.0.6), 3.5.0-3.53 (фикс 3.5.14), 3.4.0-3.4.15 (фикс 3.4.16), 3.3.03.3.18 (фикс 3.3.19), 2.7.0-2.7.32 (fix 2.7.33); PID-файл / поведение Символической связи (ApplicationPidFileWriter`). Версии, которые больше не поддерживаются, также затрагиваются в каждом поставщике.
CVE-2023-34055В версиях Spring Boot 2.7.0 - 2.7.17, 3.0.0-3.0.12 и 3.1.0-3.1.5 существует возможность предоставления пользователем специально сформированных HTTP-запросов, которые могут вызвать отказ в обслуживании (DoS).
В частности, приложение уязвимо, когда выполняются все следующие условия:
* приложение использует Spring MVC или Spring WebFlux
* org.springframework.boot:spring-boot-actuator присутствует в classpath.