Spring Security has Potential Security Misconfiguration when Using withIssuerLocation

TRUNG BÌNH 6.5CVE-2026-22748 · GHSA-cvc6-q2cp-2xhw · Công bố 22/04/2026 · cập nhật 26/10/2026

Tóm tắt nhanh

CVE-2026-22748 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng org.springframework.security:spring-security-oauth2-jose, spring security (vmware).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.20%, cao hơn 10.3% các lỗ hổng khác.
Cách xử lý: cập nhật lên 6.5.10, 7.0.5, 6.4.15, 6.3.15 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.springframework.security:spring-security-oauth2-jose Maven	`≥ 6.3.0, ≤ 6.3.14≥ 6.4.0, ≤ 6.4.14≥ 6.5.0, < 6.5.10≥ 7.0.0, < 7.0.5`	`6.5.107.0.5`
spring security vmware	`≥ 6.4.0, < 6.4.15≥ 6.5.0, < 6.5.10≥ 7.0.0, < 7.0.5< 6.3.15`	`6.4.156.5.107.0.56.3.15`

Mô tả

Vulnerability in Spring Spring Security. When an application configures JWT decoding with NimbusJwtDecoder or NimbusReactiveJwtDecoder, it must configure an OAuth2TokenValidator<Jwt> separately, for example by calling setJwtValidator. This issue affects Spring Security: from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.9, from 7.0.0 through 7.0.4.

Mô tả của NVD

Vulnerability in Spring Spring Security. When an application configures JWT decoding with NimbusJwtDecoder or NimbusReactiveJwtDecoder, it must configure an OAuth2TokenValidator<Jwt> separately, for example by calling setJwtValidator.This issue affects Spring Security: from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.9, from 7.0.0 through 7.0.4.

Tham khảo

nvd.nist.gov/vuln/detail/CVE-2026-22748 · ADVISORY
spring-projects/spring-security · PACKAGE
spring.io/security/cve-2026-22748 · WEB

Lỗ hổng khác của org.springframework.security:spring-security-oauth2-jose

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí

Tóm tắt nhanh

CVE-2026-22748 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng org.springframework.security:spring-security-oauth2-jose, spring security (vmware).

Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.20%, cao hơn 10.3% các lỗ hổng khác.

Cách xử lý: cập nhật lên 6.5.10, 7.0.5, 6.4.15, 6.3.15 hoặc mới hơn.

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

org.springframework.security:spring-security-oauth2-jose

Maven

≥ 6.3.0, ≤ 6.3.14≥ 6.4.0, ≤ 6.4.14≥ 6.5.0, < 6.5.10≥ 7.0.0, < 7.0.5

6.5.107.0.5

spring security

vmware

≥ 6.4.0, < 6.4.15≥ 6.5.0, < 6.5.10≥ 7.0.0, < 7.0.5< 6.3.15

6.4.156.5.107.0.56.3.15

Mô tả

Mô tả của NVD

Vulnerability in Spring Spring Security. When an application configures JWT decoding with NimbusJwtDecoder or NimbusReactiveJwtDecoder, it must configure an OAuth2TokenValidator<Jwt> separately, for example by calling setJwtValidator.This issue affects Spring Security: from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.9, from 7.0.0 through 7.0.4.