Spring Security, версии 5.7 до 5.7.5 и 5.6 до 5.6.9, а также более старые неподдерживаемые версии могут быть подвержены повышению привилеги…

Spring Security, версии 5.7 до 5.7.5 и 5.6 до 5.6.9, а также более старые неподдерживаемые версии могут быть подвержены повышению привилегий при определенных условиях. Злонамеренный пользователь или злоумышленник может изменить запрос, инициированный клиентом (через браузер) к серверу авторизации, что может привести к повышению привилегий при последующем утверждении. Этот сценарий может произойти, если сервер авторизации отвечает ответом токена доступа OAuth2, содержащим пустой список областей (согласно RFC 6749, раздел 5.1) при последующем запросе к конечной точке токена для получения токена доступа.