Hoch

Spring Web Services: Wss4jSecurityInterceptor disables WS-I BSP validation by default

Veröffentlicht: 11.06.2026
Aktualisiert: 11.10.2026 12:22

Wss4jSecurityInterceptor initialized its BSP (WS-I Basic Security Profile) compliance flag so that inbound validation disabled WSS4J BSP enforcement on RequestData. Services that validate WS-Security on the network could therefore accept messages that violate BSP rules, weakening protocol-level checks.

Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.springframework.ws:spring-ws-security	>= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8	5.0.2, 4.1.4

Verweise

CVSS-Wert 8.2/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
Schwäche (CWE): CWE-1188
Plattform: Java / Kotlin (Maven)
Paket: org.springframework.ws:spring-ws-security
Veröffentlicht: 11.06.2026
Aktualisiert: 11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-gg9r-wr4p-w63h - CC BY 4.0

Schwachstellenhistorie: org.springframework.ws:spring-ws-security

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 06.2026 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 3
Niedrig 1

Veröffentlichungen pro Jahr

2026: 5

11.06.2026

Spring Web Services: Wss4jSecurityInterceptor disables WS-I BSP validation by default dieser Eintrag

Hoch · 8.2 CVE-2026-40994 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: X.509 authentication bypasses Spring Security account checks

Mittel · 5.4 CVE-2026-40995 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: WSS4J validation does not use configured replay cache

Niedrig · 3.7 CVE-2026-41000 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: Inbound WS-Security allows RSA PKCS#1 v1.5 key transport by default

Mittel · 4.8 CVE-2026-40996 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: SOAP security faults leak Spring Security account state

Mittel · 5.3 CVE-2026-40997 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden