CVE-2026-41838
Publiée le 2026-06-09 · Dernière modification le 2026-07-23
Les applications utilisant le module WebSocket du framework Spring sont concernées car les identifiants de session sont prévisibles. Un attaquant disposant d'un compte avec des privilèges restreints pourrait potentiellement détourner la session d'un autre utilisateur pour voler des données sensibles, à condition de réussir à inciter une victime à cliquer sur un lien malveillant. En raison de la grande complexité de l'attaque, celle-ci est difficile à exécuter et nécessite à la fois un accès réseau et une interaction spécifique de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
IDs for WebSocket sessions in the spring-websocket module are not cryptographically unpredictable, which may be possible to exploit in combination with inadequate authorization rules. Affected versions: Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.