CVE-2026-40996

Nome do Software Vulnerável e Versões Afetadas Spring Web Services versões 5.0.0 até 5.0.1 Spring Web Services versões 4.1.0 até 4.1.3 Spring Web Services versões 4.0.0 até 4.0.18 Spring Web Services versões 3.1.0 até 3.1.8

Description O Wss4jSecurityInterceptor define a variável allowRSA15KeyTransportAlgorithm como true por padrão, substituindo o padrão mais seguro do Apache WSS4J para RequestData de validação. Consequentemente, a descriptografia de entrada do WS-Security pode aceitar material de chave criptografado RSA PKCS#1 v1.5 (rsa-1 5), a menos que a flag seja explicitamente reconfigurada.

Recommendations Para as versões 5.0.0 até 5.0.1, 4.1.0 até 4.1.3, 4.0.0 até 4.0.18 e 3.1.0 até 3.1.8, reconfigure explicitamente a flag allowRSA15KeyTransportAlgorithm para false. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.