Spring Security – Autorisierungsfehler bei requestMatchers(String) und mehreren Servlets

Beschreibung

Spring Security in den Versionen 5.8 vor 5.8.5, 6.0 vor 6.0.5 und 6.1 vor 6.1.2 kann anfällig für eine fehlerhafte Autorisierungskonfiguration sein, wenn eine Anwendung requestMatchers(String) verwendet und mehrere Servlets absichert, darunter Spring MVCs DispatcherServlet. Betroffen sind Anwendungen, die Spring MVC im Classpath haben, mehr als ein Servlet über Spring Security absichern und requestMatchers(String) auch für Nicht-Spring-MVC-Endpunkte nutzen. Nicht betroffen sind Anwendungen ohne Spring MVC im Classpath, die nur das DispatcherServlet absichern oder requestMatchers(String) ausschliesslich für Spring-MVC-Endpunkte verwenden. CVSS-Basiswert: 7.3 (Hoch).

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Spring (Broadcom/Tanzu)

• Broadcom VMware Aria Operations – Command Injection KEV CVE-2026-22719
• Broadcom VMware vCenter Server – Out-of-Bounds Write KEV CVE-2024-37079
• VMware Aria Operations / VMware Tools – Rechteausweitung durch unsichere Aktionen KEV CVE-2025-41244
• Broadcom Brocade Fabric OS – Code Injection KEV CVE-2025-1976
• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• VMware Tanzu Spring Cloud Function – Remote Code Execution KEV CVE-2022-22963