CVE-2026-40976
Publiée le 2026-04-28 · Dernière modification le 2026-07-24
Les applications Spring Boot basées sur des servlets (versions 4.0.0–4.0.5) sont concernées si elles utilisent la sécurité web par défaut et la dépendance d'autoconfiguration actuator sans la dépendance health. Un attaquant peut contourner les filtres de sécurité pour obtenir un accès non autorisé à tous les points de terminaison de l'application, compromettant potentiellement des données sensibles ou modifiant les paramètres du système. Cette action est facile à exécuter via le réseau et ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In certain circumstances, Spring Boot's default web security is ineffective allowing unauthorized access to all endpoints. For an application to be vulnerable, it must: be a servlet-based web application; have no Spring Security configuration of its own and rely on the default web security filter chain; depend on spring-boot-actuator-autoconfigure; not depend on spring-boot-health. If any of the above does not apply, the application is not vulnerable. Affected: Spring Boot 4.0.0–4.0.5; upgrade to 4.0.6 or later per vendor advisory.