Średnia

Spring Boot's random value property source uses a weak PRNG unsuitable for secrets

Ujawniono: 28.04.2026
Aktualizacja: 11.10.2026 12:22

Values produced by ${random.value} are not suitable for use as secrets. ${random.uuid} is not affected. ${random.int} and ${random.long} should never be used for secrets as they are numeric values with a predictable range.

Affected: Spring Boot 4.0.0–4.0.5 (fix 4.0.6), 3.5.0–3.5.13 (fix 3.5.14), 3.4.0–3.4.15 (fix 3.4.16), 3.3.0–3.3.18 (fix 3.3.19), 2.7.0–2.7.32 (fix 2.7.33); random value property source / weak PRNG for secrets. Versions that are no longer supported are also affected per vendor advisory.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.springframework.boot:spring-boot-cassandra	>= 4.0.0, < 4.0.6, >= 3.5.0, < 3.5.14, >= 3.4.0, <= 3.4.15, >= 3.3.0, <= 3.3.18, <= 2.7.32	4.0.6, 3.5.14

Odnośniki

Ocena CVSS 4.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Słabość (CWE): CWE-330
Platforma: Java / Kotlin (Maven)
Paczka: org.springframework.boot:spring-boot-cassandra
Ujawniono: 28.04.2026
Aktualizacja: 11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-m4x9-hx6x-2c43 - CC BY 4.0

Historia podatności: org.springframework.boot:spring-boot-cassandra

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 3
Pierwsza → ostatnia: 04.2026 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Średnia 3

Ujawnienia w latach

2026: 3

28.04.2026

Spring Boot's PID file write follows symlinks at predictable default path

Średnia · 4.7 CVE-2026-40977 >= 4.0.0, < 4.0.6, >= 3.5.0, < 3.5.14, >= 3.4.0, <= 3.4.15, >= 3.3.0, <= 3.3.18, <= 2.7.32 4.0.6, 3.5.14
28.04.2026

Spring Boot's Cassandra SSL auto-configuration disables TLS hostname verification

Średnia · 5.0 CVE-2026-40974 >= 4.0.0, < 4.0.6, >= 3.5.0, < 3.5.14, >= 3.4.0, <= 3.4.15, >= 3.3.0, <= 3.3.18, <= 2.7.32 4.0.6, 3.5.14
28.04.2026

Spring Boot's random value property source uses a weak PRNG unsuitable for secrets ten wpis

Średnia · 4.8 CVE-2026-40975 >= 4.0.0, < 4.0.6, >= 3.5.0, < 3.5.14, >= 3.4.0, <= 3.4.15, >= 3.3.0, <= 3.3.18, <= 2.7.32 4.0.6, 3.5.14

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację