Iniciar sesión
Deutsch English Español Polski
Crítica

Authorization bypass in Spring Security

  • Publicada: 20.05.2022
  • Actualizado: 11.10.2026 12:21

In Spring Security versions 5.5.6 and 5.5.7 and older unsupported versions, RegexRequestMatcher can easily be misconfigured to be bypassed on some servlet containers. Applications using RegexRequestMatcher with . in the regular expression are possibly vulnerable to an authorization bypass.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.springframework.security:spring-security-core >= 5.5.0, < 5.5.7, >= 5.6.0, < 5.6.4, < 5.4.11 5.5.7, 5.6.4, 5.4.11
Java / Kotlin (Maven) org.springframework.security:spring-security-web >= 5.5.0, < 5.5.7, >= 5.6.0, < 5.6.4, < 5.4.11 5.5.7, 5.6.4, 5.4.11

Referencias

Puntuación CVSS 9.8/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-285, CWE-863
Plataforma
Java / Kotlin (Maven)
Paquete
org.springframework.security:spring-security-core, org.springframework.security:spring-security-web
Publicada
20.05.2022
Actualizado
11.10.2026 12:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-hh32-7344-cg2f - CC BY 4.0

Historial de vulnerabilidades: org.springframework.security:spring-security-core

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (31) en el archivo
Entradas en total
31
Primera → última
10.2018 04.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 4
  • Alta 11
  • Media 15
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Spring Security annotation detection mechanism has authorization bypass
    Alta · 7.5 CVE-2025-41248 >= 6.4.0, < 6.4.10, >= 6.5.0, < 6.5.4 6.4.10, 6.5.4
  2. Spring Security authorization bypass for method security annotations on private methods
    Crítica · 9.1 CVE-2025-41232 >= 6.4.0, < 6.4.6 6.4.6
  3. Erroneous authentication pass in Spring Security
    Alta · 8.2 CVE-2024-22257 < 5.7.12, >= 5.8.0, < 5.8.11, >= 6.0.0, < 6.1.8, >= 6.2.0, < 6.2.3 5.7.12, 5.8.11, 6.1.8, 6.2.3
  4. Broken Access Control in Spring Security With Direct Use of isFullyAuthenticated
    Alta · 7.4 CVE-2024-22234 >= 6.1.0, < 6.1.7, >= 6.2.0, < 6.2.2 6.1.7, 6.2.2
  5. Spring Security authorization rules can be bypassed via forward or include dispatcher types
    Crítica · 9.8 CVE-2022-31692 >= 5.7.0, < 5.7.5, >= 5.6.0, < 5.6.9 5.7.5, 5.6.9
  6. Authorization bypass in Spring Security esta entrada
    Crítica · 9.8 CVE-2022-22978 >= 5.5.0, < 5.5.7, >= 5.6.0, < 5.6.4, < 5.4.11 5.5.7, 5.6.4, 5.4.11
  7. Deserialization of Untrusted Data in Spring Security
    Alta · 8.1 CVE-2017-4995 >= 4.2.0.RELEASE, < 4.2.3.RELEASE, >= 5.0.0.M1, < 5.0.0.M2 4.2.3.RELEASE, 5.0.0.M2
  8. Improper Authentication in Spring Security
    Alta · 7.3 CVE-2014-0097 >= 3.2.0, < 3.2.2.RELEASE, >= 3.1.0, < 3.1.5.RELEASE 3.2.2.RELEASE, 3.1.5.RELEASE
  9. Resource Exhaustion in Spring Security
    Alta · 7.5 CVE-2021-22119 >= 5.5.0, < 5.5.1, >= 5.4.0, < 5.4.7, >= 5.3.0, < 5.3.10, >= 5.2.0, < 5.2.11 5.5.1, 5.4.7, 5.3.10, 5.2.11
  10. Security Constraint Bypass in Spring Security
    Alta · 7.5 CVE-2016-9879 < 3.2.10.RELEASE, >= 4.0.0.RELEASE, < 4.1.4.RELEASE, >= 4.2.0.RELEASE, < 4.2.1.RELEASE 3.2.10.RELEASE, 4.1.4.RELEASE, 4.2.1.RELEASE
  11. Authorization Bypass in Spring Security
    Crítica · 9.8 CVE-2014-3527 < 3.1.7, >= 3.2.0, < 3.2.5 3.1.7, 3.2.5
  12. Signature wrapping vulnerability in Spring Security
    Alta · 8.8 CVE-2020-5407 >= 5.2.0, < 5.2.4, >= 5.3.0, < 5.3.2 5.2.4, 5.3.2
  13. Insufficiently Protected Credentials and Improper Authentication in Spring Security
    Alta · 7.3 CVE-2019-11272 < 4.2.13 4.2.13
  14. Spring Security vulnerable to Authorization Bypass
    Alta · 7.4 CVE-2018-15801 >= 5.1.0, < 5.1.2 5.1.2
  15. Spring Security and Spring Framework may not recognize certain paths that should be protected
    Alta · 7.5 CVE-2016-5007 < 4.1.1 4.1.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.