CVE-2026-47842
Publiée le 2026-08-26 · Dernière modification le 2026-09-04
Les applications utilisant certaines versions de Spring Security qui implémentent l' `AesBytesEncryptor` avec un vecteur d'initialisation nul sont sensibles à un chiffrement prévisible. Un attaquant disposant d'un accès réseau authentifié basique peut exploiter cette faille pour déchiffrer des données sensibles en identifiant des motifs dans le résultat chiffré. Comme le défaut provient d'une configuration statique, aucune interaction directe avec l'utilisateur n'est requise pour l'exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Applications using AesBytesEncryptor with the two-argument constructor or when passing a null IV generator and CBC as the encryption mode encrypt data with AES/CBC using a null (all-zero) initialization vector. Spring Security 7.1.0 Spring Security 7.0.0 - 7.0.6 Spring Security 6.5.0 - 6.5.11 Spring Security 6.4.0 - 6.4.18 Spring Security 5.8.0 - 5.8.27 Spring Security 5.7.0 - 5.7.25