Niedrig

Spring Web Services: WSS4J validation does not use configured replay cache

Veröffentlicht: 11.06.2026
Aktualisiert: 11.10.2026 12:22

Wss4jSecurityInterceptor did not consistently wire Apache WSS4J ReplayCache instances into RequestData for validation-time checks. As a result, protections against replay of UsernameToken nonces and creation timestamps, Timestamp elements, and certain SAML one-time-use semantics could be ineffective even when operators configured a replay cache on the interceptor.

Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.springframework.ws:spring-ws-security	>= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8	5.0.2, 4.1.4

Verweise

CVSS-Wert 3.7/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
Schwäche (CWE): CWE-294
Plattform: Java / Kotlin (Maven)
Paket: org.springframework.ws:spring-ws-security
Veröffentlicht: 11.06.2026
Aktualisiert: 11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-8qq9-r6cc-qjv9 - CC BY 4.0

Schwachstellenhistorie: org.springframework.ws:spring-ws-security

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 06.2026 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 3
Niedrig 1

Veröffentlichungen pro Jahr

2026: 5

11.06.2026

Spring Web Services: Wss4jSecurityInterceptor disables WS-I BSP validation by default

Hoch · 8.2 CVE-2026-40994 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: X.509 authentication bypasses Spring Security account checks

Mittel · 5.4 CVE-2026-40995 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: WSS4J validation does not use configured replay cache dieser Eintrag

Niedrig · 3.7 CVE-2026-41000 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: Inbound WS-Security allows RSA PKCS#1 v1.5 key transport by default

Mittel · 4.8 CVE-2026-40996 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: SOAP security faults leak Spring Security account state

Mittel · 5.3 CVE-2026-40997 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden