CVE-2026-40996
Orta
Açıklama
Wss4jSecurityInterceptor, RequestData doğrulaması için Apache WSS4J'nin daha güvenli varsayılan ayarını geçersiz kılarak allowRSA15KeyTransportAlgorithm değerini varsayılan olarak true şeklinde belirlemiştir. Bu nedenle, operatörler bayrağı açıkça yeniden yapılandırmadığı sürece, gelen WS-Security şifre çözme işlemi RSA PKCS#1 v1.5 (rsa-1_5) ile şifrelenmiş anahtar materyallerini kabul edebilirdi. Etkilenen versiyonlar: Spring Web Services 5.0.0 ile 5.0.1 arası; 4.1.0 ile 4.1.3 arası; 4.0.0 ile 4.0.18 arası; 3.1.0 ile 3.1.8 arası.
ÖnemOrta
CVSS4.8
İstismar olasılığı—
Ürün
Broadcom Spring Web Services
Yayın11 Haz 2026
İlk görülme11 Haz 2026
Zayıflık türüCWE-327CWE-327
Nasıl düzeltilir
Güncelleyin
- broadcom spring_web_services3.1.9, 4.0.19, 4.1.3.1, 5.0.1.1 ya da sonraki bir sürüm
- org.springframework.ws:spring-ws-security5.0.2, 4.1.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| broadcom spring_web_services | v < 3.1.9, 4.0.0 ≤ v < 4.0.19, 4.1.0 ≤ v < 4.1.3.1, 5.0.0 ≤ v < 5.0.1.1 | 3.1.9, 4.0.19, 4.1.3.1, 5.0.1.1 |
| org.springframework.ws:spring-ws-securityMaven | 5.0.0 ≤ v < 5.0.2, 4.1.0 ≤ v < 4.1.4, 4.0.0 ≤ v ≤ 4.0.18, 3.1.0 ≤ v ≤ 3.1.8 | 5.0.2, 4.1.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.