Alta

Spring Security Doesn't Correctly Include Servlet Path in Path Matching of HttpSecurity#securityMatchers

Publicada: 22.04.2026
Actualizado: 11.10.2026 13:20

Vulnerability in Spring Spring Security. If an application is using securityMatchers(String) and a PathPatternRequestMatcher.Builder bean to prepend a servlet path, matching requests to that filter chain may fail and its related security components will not be exercised as intended by the application. This can lead to the authentication, authorization, and other security controls being rendered inactive on intended requests. This issue affects Spring Security: from 7.0.0 through 7.0.4.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.springframework.security:spring-security-config	>= 7.0.0, < 7.0.5	7.0.5

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Debilidad (CWE): CWE-693
Plataforma: Java / Kotlin (Maven)
Paquete: org.springframework.security:spring-security-config
Publicada: 22.04.2026
Actualizado: 11.10.2026 13:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-4wrg-8wpc-h923 - CC BY 4.0

Historial de vulnerabilidades: org.springframework.security:spring-security-config

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 5
Primera → última: 07.2023 04.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 3
Media 1

Divulgaciones por año

2023: 2
2024: 1
2025: 0
2026: 2

22.04.2026

Spring Security Doesn't Correctly Include Servlet Path in Path Matching of HttpSecurity#securityMatchers esta entrada

Alta · 7.5 CVE-2026-22753 >= 7.0.0, < 7.0.5 7.0.5
22.04.2026

Spring Security Doesn't Correctly Include Servlet Path in Path Matching of XML Authorization Rules

Alta · 7.5 CVE-2026-22754 >= 7.0.0, < 7.0.5 7.0.5
06.02.2024

Spring Security's spring-security.xsd file is world writable

Media · 5.5 CVE-2023-34042 >= 6.1.1, < 6.1.4, >= 6.0.4, < 6.0.7, >= 5.8.4, < 5.8.7, >= 5.7.9, < 5.7.11 6.1.4, 6.0.7, 5.8.7, 5.7.11
19.07.2023

Access Control Bypass in Spring Security

Crítica · 9.1 CVE-2023-34034 >= 5.6.0, < 5.6.12, >= 5.7.0, < 5.7.10, >= 5.8.0, < 5.8.5, >= 6.0.0, < 6.0.5, >= 6.1.0, < 6.1.2 5.6.12, 5.7.10, 5.8.5, 6.0.5, 6.1.2
18.07.2023

Spring Security's authorization rules can be misconfigured when using multiple servlets

Alta · 7.3 CVE-2023-34035 >= 5.8.0, < 5.8.5, >= 6.0.0, < 6.0.5, >= 6.1.0, < 6.1.2 5.8.5, 6.0.5, 6.1.2

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación