Iniciar sesión
Deutsch English Español Polski
Alta

Erroneous authentication pass in Spring Security

  • Publicada: 18.03.2024
  • Actualizado: 11.10.2026 13:20

In Spring Security, versions 5.7.x prior to 5.7.12, 5.8.x prior to 5.8.11, versions 6.0.x prior to 6.0.9, versions 6.1.x prior to 6.1.8, versions 6.2.x prior to 6.2.3, an application is possible vulnerable to broken access control when it directly uses the AuthenticatedVoter#vote passing a null Authentication parameter.

Specifically, an application is vulnerable if:

The application uses AuthenticatedVoter directly and a null authentication parameter is passed to it resulting in an erroneous true return value.

An application is not vulnerable if any of the following is true:

  • The application does not use AuthenticatedVoter#vote directly.
  • The application does not pass null to AuthenticatedVoter#vote.

Note that AuthenticatedVoter is deprecated since 5.8, use implementations of AuthorizationManager as a replacement.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.springframework.security:spring-security-core < 5.7.12, >= 5.8.0, < 5.8.11, >= 6.0.0, < 6.1.8, >= 6.2.0, < 6.2.3 5.7.12, 5.8.11, 6.1.8, 6.2.3

Referencias

Puntuación CVSS 8.2/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Debilidad (CWE)
CWE-287, CWE-862
Plataforma
Java / Kotlin (Maven)
Paquete
org.springframework.security:spring-security-core
Publicada
18.03.2024
Actualizado
11.10.2026 13:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-f3jh-qvm4-mg39 - CC BY 4.0

Historial de vulnerabilidades: org.springframework.security:spring-security-core

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (31) en el archivo
Entradas en total
31
Primera → última
10.2018 04.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 4
  • Alta 11
  • Media 15
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Spring Security annotation detection mechanism has authorization bypass
    Alta · 7.5 CVE-2025-41248 >= 6.4.0, < 6.4.10, >= 6.5.0, < 6.5.4 6.4.10, 6.5.4
  2. Spring Security authorization bypass for method security annotations on private methods
    Crítica · 9.1 CVE-2025-41232 >= 6.4.0, < 6.4.6 6.4.6
  3. Erroneous authentication pass in Spring Security esta entrada
    Alta · 8.2 CVE-2024-22257 < 5.7.12, >= 5.8.0, < 5.8.11, >= 6.0.0, < 6.1.8, >= 6.2.0, < 6.2.3 5.7.12, 5.8.11, 6.1.8, 6.2.3
  4. Broken Access Control in Spring Security With Direct Use of isFullyAuthenticated
    Alta · 7.4 CVE-2024-22234 >= 6.1.0, < 6.1.7, >= 6.2.0, < 6.2.2 6.1.7, 6.2.2
  5. Spring Security authorization rules can be bypassed via forward or include dispatcher types
    Crítica · 9.8 CVE-2022-31692 >= 5.7.0, < 5.7.5, >= 5.6.0, < 5.6.9 5.7.5, 5.6.9
  6. Authorization bypass in Spring Security
    Crítica · 9.8 CVE-2022-22978 >= 5.5.0, < 5.5.7, >= 5.6.0, < 5.6.4, < 5.4.11 5.5.7, 5.6.4, 5.4.11
  7. Deserialization of Untrusted Data in Spring Security
    Alta · 8.1 CVE-2017-4995 >= 4.2.0.RELEASE, < 4.2.3.RELEASE, >= 5.0.0.M1, < 5.0.0.M2 4.2.3.RELEASE, 5.0.0.M2
  8. Improper Authentication in Spring Security
    Alta · 7.3 CVE-2014-0097 >= 3.2.0, < 3.2.2.RELEASE, >= 3.1.0, < 3.1.5.RELEASE 3.2.2.RELEASE, 3.1.5.RELEASE
  9. Resource Exhaustion in Spring Security
    Alta · 7.5 CVE-2021-22119 >= 5.5.0, < 5.5.1, >= 5.4.0, < 5.4.7, >= 5.3.0, < 5.3.10, >= 5.2.0, < 5.2.11 5.5.1, 5.4.7, 5.3.10, 5.2.11
  10. Security Constraint Bypass in Spring Security
    Alta · 7.5 CVE-2016-9879 < 3.2.10.RELEASE, >= 4.0.0.RELEASE, < 4.1.4.RELEASE, >= 4.2.0.RELEASE, < 4.2.1.RELEASE 3.2.10.RELEASE, 4.1.4.RELEASE, 4.2.1.RELEASE
  11. Authorization Bypass in Spring Security
    Crítica · 9.8 CVE-2014-3527 < 3.1.7, >= 3.2.0, < 3.2.5 3.1.7, 3.2.5
  12. Signature wrapping vulnerability in Spring Security
    Alta · 8.8 CVE-2020-5407 >= 5.2.0, < 5.2.4, >= 5.3.0, < 5.3.2 5.2.4, 5.3.2
  13. Insufficiently Protected Credentials and Improper Authentication in Spring Security
    Alta · 7.3 CVE-2019-11272 < 4.2.13 4.2.13
  14. Spring Security vulnerable to Authorization Bypass
    Alta · 7.4 CVE-2018-15801 >= 5.1.0, < 5.1.2 5.1.2
  15. Spring Security and Spring Framework may not recognize certain paths that should be protected
    Alta · 7.5 CVE-2016-5007 < 4.1.1 4.1.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.