Crítica

Spring Boot's default security filter chain has no authorization rule with Actuator but without Health

Publicada: 28.04.2026
Actualizado: 11.10.2026 13:20

In certain circumstances, Spring Boot's default web security is ineffective allowing unauthorized access to all endpoints. For an application to be vulnerable, it must: be a servlet-based web application; have no Spring Security configuration of its own and rely on the default web security filter chain; depend on spring-boot-actuator-autoconfigure; not depend on spring-boot-health. If any of the above does not apply, the application is not vulnerable.

Affected: Spring Boot 4.0.0–4.0.5; upgrade to 4.0.6 or later per vendor advisory.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.springframework.boot:spring-boot	>= 4.0.0, < 4.0.6	4.0.6

Referencias

Puntuación CVSS 9.1/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Debilidad (CWE): CWE-862
Plataforma: Java / Kotlin (Maven)
Paquete: org.springframework.boot:spring-boot
Publicada: 28.04.2026
Actualizado: 11.10.2026 13:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-8v8j-3hxp-93wr - CC BY 4.0

Historial de vulnerabilidades: org.springframework.boot:spring-boot

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 5
Primera → última: 10.2018 04.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Alta 3
Media 1

Divulgaciones por año

2018: 1
2019: 0
2020: 0
2021: 0
2022: 1
2023: 0
2024: 0
2025: 1
2026: 2

28.04.2026

Spring Boot accepts predictable temp directory without ownership verification

Alta · 7.0 CVE-2026-40973 >= 4.0.0, < 4.0.6, >= 3.5.0, < 3.5.14, >= 3.4.0, <= 3.4.15, >= 3.3.0, <= 3.3.18, <= 2.7.32 4.0.6, 3.5.14
28.04.2026

Spring Boot's default security filter chain has no authorization rule with Actuator but without Health esta entrada

Crítica · 9.1 CVE-2026-40976 >= 4.0.0, < 4.0.6 4.0.6
28.04.2025

Spring Boot EndpointRequest.to() creates wrong matcher if actuator endpoint is not exposed

Alta · 7.3 CVE-2025-22235 <= 2.7.24.2, >= 3.1.0, <= 3.1.15.2, >= 3.2.0, <= 3.2.13.2, >= 3.3.0, < 3.3.11, >= 3.4.0, < 3.4.5 3.3.11, 3.4.5
11.07.2022

Temporary Directory Hijacking to Local Privilege Escalation Vulnerability in org.springframework.boot:spring-boot

Alta · 7.8 CVE-2022-27772 < 2.2.11.RELEASE 2.2.11.RELEASE
18.10.2018

Moderate severity vulnerability that affects org.springframework.boot:spring-boot

Media · 5.9 CVE-2018-1196 >= 1.5.0, < 1.5.10 1.5.10

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación