CVE-2026-22748
Potential Security Misconfiguration when Using withIssuerLocation
Что произошло
Vulnerability in Spring Spring Security. When an application configures JWT decoding with NimbusJwtDecoder or NimbusReactiveJwtDecoder, it must configure an OAuth2TokenValidator separately, for example by calling setJwtValidator.This issue affects Spring Security: from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.9, from 7.0.0 through 7.0.4.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Spring / Spring Security
{
"status": "affected",
"version": "6.3.0",
"versionType": "custom",
"lessThanOrEqual": "6.3.14"
}{
"status": "affected",
"version": "6.4.0",
"versionType": "custom",
"lessThanOrEqual": "6.4.14"
}{
"status": "affected",
"version": "6.5.0",
"versionType": "custom",
"lessThanOrEqual": "6.5.9"
}{
"status": "affected",
"version": "7.0.0",
"versionType": "custom",
"lessThanOrEqual": "7.0.4"
}vmware / spring_security
{
"status": "affected",
"version": "*",
"versionEndExcluding": "6.3.15"
}cpe:2.3:a:vmware:spring_security:*:*:*:*:*:*:*:*
vmware / spring_security
{
"status": "affected",
"version": "*",
"versionEndExcluding": "6.4.15",
"versionStartIncluding": "6.4.0"
}cpe:2.3:a:vmware:spring_security:*:*:*:*:*:*:*:*
vmware / spring_security
{
"status": "affected",
"version": "*",
"versionEndExcluding": "6.5.10",
"versionStartIncluding": "6.5.0"
}cpe:2.3:a:vmware:spring_security:*:*:*:*:*:*:*:*
vmware / spring_security
{
"status": "affected",
"version": "*",
"versionEndExcluding": "7.0.5",
"versionStartIncluding": "7.0.0"
}cpe:2.3:a:vmware:spring_security:*:*:*:*:*:*:*:*
CVSS: оценки и векторы
CVSS 3.1 · cve5.3
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N
CVSS 3.1 · security@vmware.com5.3
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N
CVSS 3.1 · nvd@nist.gov6.5
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-11-04T21:15:47.933750+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T17:51:31.781270+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T17:51:31.781270+00:00"
},
"affected": [
"cve",
"nvd"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T17:51:31.781270+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-04T21:15:47.933750+00:00"
},
"references": [
"cve",
"nvd"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T17:51:31.781270+00:00"
},
"workarounds": [],
"configurations": [
"nvd"
]
}Хронология записи
- Данные обновлены05.11.2026, 00:15
- Данные обновлены04.11.2026, 00:12
- Данные обновлены03.11.2026, 00:11
- Данные обновлены02.11.2026, 00:10
- Данные обновлены31.10.2026, 11:57
- Данные обновлены28.10.2026, 20:51
- Данные обновлены28.10.2026, 18:06
- Опубликована28.10.2026, 15:11
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-22753 Servlet Path Not Correctly Included in Path Matching of HttpSecurity#securityMatchers Spring / Spring Security · vmware / spring_security | Высокий | 7.5 | 0,25 % | 22.04.2026 | ||
| CVE-2026-22754 ervlet Path Not Correctly Included in Path Matching of XML Authorization Rules Spring / Spring Security · Red Hat / OpenShift Developer Tools and Services | Высокий | 7.5 | 0,27 % | 22.04.2026 | ||
| CVE-2026-22747 Unauthorized User Impersonation when Using X.509 Client Certificates Spring / Spring Security · Red Hat / OpenShift Developer Tools and Services | Высокий | 8.1 | 0,24 % | 22.04.2026 | ||
| CVE-2026-22746 User Attribute Enumeration when Using DaoAuthenticationProvider Spring / Spring Security · vmware / spring_security | Низкий | 3.7 | 0,22 % | 22.04.2026 | ||
| CVE-2026-22751 Spring Security JdbcOneTimeTokenService allows a one-time token to authenticate multiple sessions Spring / Spring Security · vmware / spring_security | Средний | 4.8 | 0,12 % | 21.04.2026 |