CVE-2024-38821

criticalPriorität · verfolgen · 11EPSS 0.017 · 78. PerzentilExploit · PoCDEEURUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

2 exploits · PoC

Likely / severe?

1.74% (78th) EPSS

CVSS 9.1 · critical

Is it mine?

35 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-27

Spring WebFlux applications that have Spring Security authorization rules on static resources can be bypassed under certain circumstances. For this to impact an application, all of the following must be true: * It must be a WebFlux application * It must be using Spring's static resources support * It must have a non-permitAll authorization rule applied to the static resources support

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.1

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · high–critical · 8.6–9.1

v3.19.1criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nsecondary · FSTEC (BDU) RU

v3.19.1criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nsecondary · ENISA EU

v3.19.1criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nsecondary · security@vmware.comAusnutzbarkeit 3.9 · Auswirkung 5.2

v3.19.1criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nsecondary · OSV

v3.18.6highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N/E:Psecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: yes · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-285USCWE-285USCWE-770USCWE-770USCWE-770US

Exploits (2)

Öffentlicher Proof-of-Concept- und Exploit-Code.

masa42/CVE-2024-38821-POCmasa42/CVE-2024-38821-POCPoC · poc_in_github
mouadk/cve-2024-38821cve-2024-38821PoC · poc_in_github

betroffene Produkte (35)

Betroffene Produkte und Versionsbereiche.

IBM Operational Decision Manager 8.11.xalle Versionencert_bundDEcpe:/a:ibm:operational_decision_manager:8.11.x
IBM Operational Decision Manager 8.12.xalle Versionencert_bundDEcpe:/a:ibm:operational_decision_manager:8.12.x
IBM Operational Decision Manager 9.0.0alle Versionencert_bundDEcpe:/a:ibm:operational_decision_manager:9.0.0
IBM Operational Decision Manager 9.0.0.1alle Versionencert_bundDEcpe:/a:ibm:operational_decision_manager:9.0.0.1
NetApp ActiveIQ Unified Manageralle Versionencert_bundDEcpe:/a:netapp:active_iq_unified_manager:-
VMware Tanzu Spring Security <5.7.13alle Versionencert_bundDE
VMware Tanzu Spring Security <5.8.15alle Versionencert_bundDE
VMware Tanzu Spring Security <6.0.13alle Versionencert_bundDE
VMware Tanzu Spring Security <6.1.11alle Versionencert_bundDE
VMware Tanzu Spring Security <6.2.7alle Versionencert_bundDE
VMware Tanzu Spring Security <6.3.4alle Versionencert_bundDE
VMware Tanzu Spring Security< 5.7.13cert_bundDE
VMware Tanzu Spring Security< 5.8.15cert_bundDE
VMware Tanzu Spring Security< 6.0.13cert_bundDE
VMware Tanzu Spring Security< 6.1.11cert_bundDE
VMware Tanzu Spring Security< 6.2.7cert_bundDE
VMware Tanzu Spring Security< 6.3.4cert_bundDE
Spring Spring5.7.x → 5.7.13enisa_euvdEU
Spring Spring5.8.x → 5.8.15enisa_euvdEU
Spring Spring6.0.x → 6.0.13enisa_euvdEU

20 von 35 angezeigt

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2024-3275VMware Tanzu Spring Security: Schwachstelle ermöglicht Umgehen von SicherheitsvorkehrungenDeutsch2024-10-27csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in VMware Tanzu Spring Security ausnutzen, um Sicherheitsvorkehrungen zu umgehen.
GHSA-c4q5-6c82-3qpwSpring Security vulnerable to Authorization Bypass of Static Resources in WebFlux Applications2024-10-28ghsa · osvUS
Spring WebFlux applications that have Spring Security authorization rules on static resources can be bypassed under certain circumstances. For this to impact an application, all of the following must be true: * It must be a WebFlux application * It must be using Spring's static resources support * It must have a non-permitAll authorization rule applied to the static resources support

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund osv NVD CVE.org MITRE

veröffentlicht 2024-10-28geändert 2026-06-17

Referenzen (6)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan