PT-2026-24206 · Vaadin+1 · Vaadin 24.9.7+8
CVE-2026-2742
·
Publicado
2026-03-10
·
Atualizado
2026-05-27
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Vaadin 14.0.0 a 14.14.0
Versões do Vaadin 23.0.0 a 23.6.6
Versões do Vaadin 24.0.0 a 24.9.7
Versões do Vaadin 25.0.0 a 25.0.1
Descrição
Existe um problema de bypass de autenticação em aplicações que utilizam o Spring Security. Acessar o endpoint
/VAADIN sem barra final contorna os filtros de segurança, permitindo que usuários não autenticados acionem a inicialização do framework e criem sessões sem autorização adequada.Recomendações
As versões do Vaadin 14.0.0 a 14.14.0 devem ser atualizadas para a versão 14.14.1.
As versões do Vaadin 23.0.0 a 23.6.6 devem ser atualizadas para a versão 23.6.7.
As versões do Vaadin 24.0.0 a 24.9.7 devem ser atualizadas para a versão 24.9.8.
As versões do Vaadin 25.0.0 a 25.0.1 devem ser atualizadas para a versão 25.0.2 ou superior.
Exploit
Correção
DoS
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Spring Security
Vaadin 14.0.0
Vaadin 14.14.0
Vaadin 23.0.0
Vaadin 23.6.6
Vaadin 24.0.0
Vaadin 24.9.7
Vaadin 25.0.0
Vaadin 25.0.1