CVE-2026-40972

Nome do Software Vulnerável e Versões Afetadas Spring Boot versões 4.0.0 a 4.0.5 Spring Boot versões 3.5.0 a 3.5.13 Spring Boot versões 3.4.0 a 3.4.15 Spring Boot versões 3.3.0 a 3.3.18 Spring Boot versões 2.7.0 a 2.7.32 Spring Boot versões anteriores a 2.7.0

Descrição Um invasor na mesma rede que a aplicação remota pode utilizar um ataque de temporização (timing attack)—um método de descobrir segredos analisando o tempo que um sistema leva para responder a diferentes entradas—para obter informações sobre o segredo remoto durante a comparação de segredos remotos do DevTools. Em circunstâncias extremas, isso pode permitir que o invasor determine o segredo e faça o upload de classes alteradas, resultando em execução remota de código.

Recomendações Atualizar para a versão 4.0.6 Atualizar para a versão 3.5.14 Atualizar para a versão 3.4.16 Atualizar para a versão 3.3.19 Atualizar para a versão 2.7.33