Hoch

Spring Framework annotation detection mechanism may result in improper authorization

Veröffentlicht: 16.09.2025
Aktualisiert: 11.10.2026 13:20

The Spring Framework annotation detection mechanism may not correctly resolve annotations on methods within type hierarchies with a parameterized super type with unbounded generics. This can be an issue if such annotations are used for authorization decisions.

Your application may be affected by this if you are using Spring Security's @EnableMethodSecurity feature.

You are not affected by this if you are not using @EnableMethodSecurity or if you do not use security annotations on methods in generic superclasses or generic interfaces.

This CVE is published in conjunction with CVE-2025-41248 https://spring.io/security/cve-2025-41248 .

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.springframework:spring-core	>= 5.3.0, <= 5.3.44, >= 6.0.0, <= 6.1.22, >= 6.2.0, < 6.2.11	6.2.11

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Schwäche (CWE): CWE-285, CWE-863
Plattform: Java / Kotlin (Maven)
Paket: org.springframework:spring-core
Veröffentlicht: 16.09.2025
Aktualisiert: 11.10.2026 13:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-jmp9-x22r-554x - CC BY 4.0

Schwachstellenhistorie: org.springframework:spring-core

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (19) im Archiv

Einträge insgesamt: 19
Erste → letzte: 10.2018 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 8
Mittel 10
Niedrig 1

Veröffentlichungen pro Jahr

2018: 9
2019: 0
2020: 1
2021: 0
2022: 6
2023: 0
2024: 1
2025: 1
2026: 1

16.09.2025

Spring Framework annotation detection mechanism may result in improper authorization dieser Eintrag

Hoch · 7.5 CVE-2025-41249 >= 5.3.0, <= 5.3.44, >= 6.0.0, <= 6.1.22, >= 6.2.0, < 6.2.11 6.2.11
22.01.2024

Spring Framework server Web DoS Vulnerability

Hoch · 7.5 CVE-2024-22233 >= 6.1.2, < 6.1.3, >= 6.0.15, < 6.0.16 6.1.3, 6.0.16
17.05.2022

Improper Neutralization of Directives in Dynamically Evaluated Code in Spring Framework

Hoch CVE-2011-2730 >= 3.0.0, < 3.0.6, < 2.5.6.SEC03, >= 2.5.7.SR0, < 2.5.7.SR023 3.0.6, 2.5.6.SEC03, 2.5.7.SR023
15.06.2020

Denial of Service in Spring Framework

Hoch · 7.5 CVE-2018-15756 >= 5.1.0.RELEASE, < 5.1.1.RELEASE, >= 5.0.0.RELEASE, < 5.0.10.RELEASE, >= 4.2.0.RELEASE, < 4.3.20.RELEASE 5.1.1.RELEASE, 5.0.10.RELEASE, 4.3.20.RELEASE
17.10.2018

Spring Security and Spring Framework may not recognize certain paths that should be protected

Hoch · 7.5 CVE-2016-5007 < 4.3.1 4.3.1
17.10.2018

Files or Directories Accessible to External Parties in org.springframework:spring-core

Hoch · 8.6 CVE-2015-5211 >= 4.2.0, < 4.2.2, >= 4.0.0, < 4.1.8, < 3.2.15 4.2.2, 4.1.8, 3.2.15
17.10.2018

Possible privilege escalation in org.springframework:spring-core

Hoch · 7.5 CVE-2018-1272 < 4.3.15, >= 5.0.0, < 5.0.5 4.3.15, 5.0.5
17.10.2018

Spring Framework when used in combination with any versions of Spring Security contains an authorization bypass

Hoch · 8.8 CVE-2018-1258 >= 5.0.5.RELEASE, < 5.0.6.RELEASE 5.0.6.RELEASE

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden