PT-2026-48623 · Apache+1 · Apache Wss4J+1

CVE-2026-41000

·

Publicado

2026-06-11

·

Atualizado

2026-06-23

CVSS v3.1

3.7

Baixa

VetorAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas Spring Web Services versões 5.0.0 a 5.0.1 Spring Web Services versões 4.1.0 a 4.1.3 Spring Web Services versões 4.0.0 a 4.0.18 Spring Web Services versões 3.1.0 a 3.1.8
Description O Wss4jSecurityInterceptor não integrou consistentemente as instâncias de ReplayCache do Apache WSS4J no RequestData durante as verificações de tempo de validação. Como resultado, as proteções contra a repetição de nonces e carimbos de data/hora de criação do UsernameToken, elementos de Timestamp e certas semânticas de uso único do SAML podem ser ineficazes, mesmo quando os operadores configuram um cache de repetição no interceptor.
Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-294

Identificadores relacionados

CVE-2026-41000
GHSA-8QQ9-R6CC-QJV9

Produtos afetados

Apache Wss4J
Spring Web Services