Alta

Spring Framework annotation detection mechanism may result in improper authorization

Publicada: 16.09.2025
Actualizado: 11.10.2026 13:20

The Spring Framework annotation detection mechanism may not correctly resolve annotations on methods within type hierarchies with a parameterized super type with unbounded generics. This can be an issue if such annotations are used for authorization decisions.

Your application may be affected by this if you are using Spring Security's @EnableMethodSecurity feature.

You are not affected by this if you are not using @EnableMethodSecurity or if you do not use security annotations on methods in generic superclasses or generic interfaces.

This CVE is published in conjunction with CVE-2025-41248 https://spring.io/security/cve-2025-41248 .

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.springframework:spring-core	>= 5.3.0, <= 5.3.44, >= 6.0.0, <= 6.1.22, >= 6.2.0, < 6.2.11	6.2.11

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE): CWE-285, CWE-863
Plataforma: Java / Kotlin (Maven)
Paquete: org.springframework:spring-core
Publicada: 16.09.2025
Actualizado: 11.10.2026 13:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-jmp9-x22r-554x - CC BY 4.0

Historial de vulnerabilidades: org.springframework:spring-core

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (19) en el archivo

Entradas en total: 19
Primera → última: 10.2018 06.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 8
Media 10
Baja 1

Divulgaciones por año

2018: 9
2019: 0
2020: 1
2021: 0
2022: 6
2023: 0
2024: 1
2025: 1
2026: 1

16.09.2025

Spring Framework annotation detection mechanism may result in improper authorization esta entrada

Alta · 7.5 CVE-2025-41249 >= 5.3.0, <= 5.3.44, >= 6.0.0, <= 6.1.22, >= 6.2.0, < 6.2.11 6.2.11
22.01.2024

Spring Framework server Web DoS Vulnerability

Alta · 7.5 CVE-2024-22233 >= 6.1.2, < 6.1.3, >= 6.0.15, < 6.0.16 6.1.3, 6.0.16
17.05.2022

Improper Neutralization of Directives in Dynamically Evaluated Code in Spring Framework

Alta CVE-2011-2730 >= 3.0.0, < 3.0.6, < 2.5.6.SEC03, >= 2.5.7.SR0, < 2.5.7.SR023 3.0.6, 2.5.6.SEC03, 2.5.7.SR023
15.06.2020

Denial of Service in Spring Framework

Alta · 7.5 CVE-2018-15756 >= 5.1.0.RELEASE, < 5.1.1.RELEASE, >= 5.0.0.RELEASE, < 5.0.10.RELEASE, >= 4.2.0.RELEASE, < 4.3.20.RELEASE 5.1.1.RELEASE, 5.0.10.RELEASE, 4.3.20.RELEASE
17.10.2018

Spring Security and Spring Framework may not recognize certain paths that should be protected

Alta · 7.5 CVE-2016-5007 < 4.3.1 4.3.1
17.10.2018

Files or Directories Accessible to External Parties in org.springframework:spring-core

Alta · 8.6 CVE-2015-5211 >= 4.2.0, < 4.2.2, >= 4.0.0, < 4.1.8, < 3.2.15 4.2.2, 4.1.8, 3.2.15
17.10.2018

Possible privilege escalation in org.springframework:spring-core

Alta · 7.5 CVE-2018-1272 < 4.3.15, >= 5.0.0, < 5.0.5 4.3.15, 5.0.5
17.10.2018

Spring Framework when used in combination with any versions of Spring Security contains an authorization bypass

Alta · 8.8 CVE-2018-1258 >= 5.0.5.RELEASE, < 5.0.6.RELEASE 5.0.6.RELEASE

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación