Mittel

Spring Web Services: Inbound WS-Security allows RSA PKCS#1 v1.5 key transport by default

Veröffentlicht: 11.06.2026
Aktualisiert: 11.10.2026 12:22

Wss4jSecurityInterceptor defaulted allowRSA15KeyTransportAlgorithm to true, overriding Apache WSS4J's safer default for validation RequestData. Inbound WS-Security decryption could therefore accept RSA PKCS#1 v1.5 (rsa-1_5) encrypted key material unless operators explicitly reconfigured the flag.

Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.springframework.ws:spring-ws-security	>= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8	5.0.2, 4.1.4

Verweise

CVSS-Wert 4.8/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Schwäche (CWE): CWE-327
Plattform: Java / Kotlin (Maven)
Paket: org.springframework.ws:spring-ws-security
Veröffentlicht: 11.06.2026
Aktualisiert: 11.10.2026 12:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-p7qj-2q5w-f9r7 - CC BY 4.0

Schwachstellenhistorie: org.springframework.ws:spring-ws-security

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 06.2026 06.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 3
Niedrig 1

Veröffentlichungen pro Jahr

2026: 5

11.06.2026

Spring Web Services: Wss4jSecurityInterceptor disables WS-I BSP validation by default

Hoch · 8.2 CVE-2026-40994 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: X.509 authentication bypasses Spring Security account checks

Mittel · 5.4 CVE-2026-40995 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: WSS4J validation does not use configured replay cache

Niedrig · 3.7 CVE-2026-41000 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: Inbound WS-Security allows RSA PKCS#1 v1.5 key transport by default dieser Eintrag

Mittel · 4.8 CVE-2026-40996 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4
11.06.2026

Spring Web Services: SOAP security faults leak Spring Security account state

Mittel · 5.3 CVE-2026-40997 >= 5.0.0, < 5.0.2, >= 4.1.0, < 4.1.4, >= 4.0.0, <= 4.0.18, >= 3.1.0, <= 3.1.8 5.0.2, 4.1.4

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden