PT-2026-34250 · Vmware · Spring Security

CVE-2026-22746

·

Publicado

2026-04-22

·

Atualizado

2026-07-21

CVSS v3.1

3.7

Baixa

VetorAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Name of the Vulnerable Software and Affected Versions Spring Security versões 5.7.0 até 5.7.22 Spring Security versões 5.8.0 até 5.8.24 Spring Security versões 6.3.0 até 6.3.15 Spring Security versões 6.5.0 até 6.5.9 Spring Security versões 7.0.0 até 7.0.4
Description Existe um problema onde a defesa contra ataques de temporização do DaoAuthenticationProvider pode ser burlada para usuários que estão desativados, expirados ou bloqueados. Isso ocorre se uma aplicação utilizar os atributos UserDetails isEnabled, isAccountNonExpired ou isAccountNonLocked para gerenciar o status do usuário.
Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-208

Identificadores relacionados

CLEANSTART-2026-NW12954
CVE-2026-22746
GHSA-VXF7-QJ7Q-83FH

Produtos afetados

Spring Security