CVE-2022-22978

highPriorität · beachten · 53OT-Risiko · hochEPSS 0.124 · 96. PerzentilExploit · PoCDEEURUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

7 exploits · PoC

Likely / severe?

12.4% (96th) EPSS

CVSS 7.5 · high

Is it mine?

30 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-27

In spring security versions prior to 5.4.11+, 5.5.7+ , 5.6.4+ and older unsupported versions, RegexRequestMatcher can easily be misconfigured to be bypassed on some servlet containers. Applications using RegexRequestMatcher with `.` in the regular expression are possibly vulnerable to an authorization bypass.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · high–critical · 7.5–9.8

v2.07.5highAV:N/AC:L/Au:N/C:P/I:P/A:Pprimary · NVD / NIST USAusnutzbarkeit 10 · Auswirkung 6.4

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · OSV

v3.19.3criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Psecondary · CVSS-BT (t0sche)

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-863USprimärCWE-285USCWE-285USCWE-863USCWE-863US

Exploits (7)

Öffentlicher Proof-of-Concept- und Exploit-Code.

DeEpinGh0st/CVE-2022-22978CVE-2022-22978 Spring-Security bypass DemoPoC · poc_in_github
Raghvendra1207/CVE-2022-22978Raghvendra1207/CVE-2022-22978PoC · poc_in_github
aeifkz/CVE-2022-22978CVE-2022-22978 POC ProjectPoC · poc_in_github
ducluongtran9121/CVE-2022-22978-PoCPoC of CVE-2022-22978 vulnerability in Spring Security frameworkPoC · poc_in_github
he-ewo/CVE-2022-22978he-ewo/CVE-2022-22978PoC · poc_in_github
umakant76705/CVE-2022-22978umakant76705/CVE-2022-22978PoC · poc_in_github

betroffene Produkte (30)

Betroffene Produkte und Versionsbereiche.

Oracle Linuxalle Versionencert_bundDEcpe:/o:oracle:linux:-
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
Atlassian Bamboo≤ Data Center <10.2.20cert_bundDE
Atlassian Bamboo≤ Data Center <12.1.8cert_bundDE
Atlassian Bitbucket≤ Data Center <10.3.1cert_bundDE
Atlassian Bitbucket≤ Data Center <10.2.4cert_bundDE
Atlassian Bitbucket≤ Data Center <9.4.21cert_bundDE
Atlassian Confluence≤ Data Center <10.2.13cert_bundDE
Atlassian Confluence≤ Data Center <9.2.21cert_bundDE
Atlassian Crucible< 4.9.11cert_bundDE
Atlassian Fisheye< 4.9.11cert_bundDE
Atlassian Jira≤ Data Center <11.3.7cert_bundDE
Atlassian Jira≤ Data Center <10.3.22cert_bundDE
Atlassian Jira≤ Service Management Data Center and Server <10.3.22cert_bundDE
Atlassian Jira≤ Service Management Data Center and Server <11.3.7cert_bundDE
Dell Secure Connect Gateway< 5.36.00.16cert_bundDE
n/a Spring Security≤ Spring security versions 5.4.x prior to 5.4.11+,5.5.x prior to 5.5.7+,5.6.x prior to 5.6.4+ and all earlier unsupported versionsenisa_euvdEU
Broadcom Inc. Spring Security≤ 5.5.7fstec_bduRU
Broadcom Inc. Spring Security5.6.0 → 5.6.4fstec_bduRU
netapp active iq unified manageralle VersionennvdUScpe:2.3:a:netapp:active_iq_unified_manager:*:*:*:*:*:*:*:*

20 von 30 angezeigt

Advisories (6)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2022-0607Red Hat FUSE: Mehrere SchwachstellenDeutsch2022-07-07csaf · cert_bundDE
Ein entfernter, anonymer, authentisierter oder lokaler Angreifer kann mehrere Schwachstellen in Red Hat FUSE ausnutzen, um vertrauliche Informationen offenzulegen, beliebigen Code auszuführen, einen Denial of Service Zustand herbeizuführen, Sicherheitsmaßnahmen zu umgehen, Daten und Informationen zu manipulieren und seine Privilegien zu erweitern.
WID-SEC-W-2023-0138Oracle Communications Applications: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1017Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-0794Dell ECS: Mehrere SchwachstellenDeutsch2024-04-04csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Dell ECS ausnutzen, um seine Privilegien zu erweitern, beliebigen Programmcode mit Administratorrechten auszuführen, Informationen offenzulegen, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuführen, Sicherheitsvorkehrungen zu umgehen oder einen Denial of Service Zustand herbeizuführen.
WID-SEC-W-2026-1955Atlassian Bamboo, Bitbucket, Confluence, Fisheye, Crucible, Jira und Jira Service Management: Mehrere SchwachstellenDeutsch2026-06-16csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Atlassian Bamboo, Bitbucket, Confluence, Fisheye, Crucible, Jira und Jira Service Management ausnutzen, um beliebigen Code auszuführen, erweiterte Berechtigungen zu erlangen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand auszulösen.
GHSA-hh32-7344-cg2fAuthorization bypass in Spring Security2022-05-20ghsa · osvUS
In Spring Security versions 5.5.6 and 5.5.7 and older unsupported versions, RegexRequestMatcher can easily be misconfigured to be bypassed on some servlet containers. Applications using RegexRequestMatcher with `.` in the regular expression are possibly vulnerable to an authorization bypass.

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund nvd osv NVD CVE.org MITRE

veröffentlicht 2022-05-19geändert 2026-06-17

verwandt (5,009)

Verwandte Einträge.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2026-71362US	—OT kritisch	90.5% (100th)	KEV	2026-08-11
Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in privilege escalation. An attacker could leverage this vulnerability to gain elevated acc…
CVE-2026-42016US	high8.8OT kritisch	8.64% (95th)	KEV	2026-07-27
JFrog Artifactory (Self Hosted) versions before 7.133.11 are vulnerable to a privilege escalation attack due to a validation check of the token signature/issuer and not the token’s…
CVE-2025-55177US	—OT kritisch	13.1% (96th)	KEV	2025-08-29
Incomplete authorization of linked device synchronization messages in WhatsApp for iOS prior to v2.25.21.73, WhatsApp Business for iOS v2.25.21.78, and WhatsApp for Mac v2.25.21.78…
CVE-2025-54253US	—OT kritisch	88.8% (100th)	KEV	2025-08-05
Adobe Experience Manager versions 6.5.23 and earlier are affected by a Misconfiguration vulnerability that could result in arbitrary code execution. An attacker could leverage this…
CVE-2025-21479US	—OT kritisch	0.84% (58th)	KEV	2025-06-03
Memory corruption due to unauthorized command execution in GPU micronode while executing specific sequence of commands.

+5004 weitere

Referenzen (11)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan