CVE-2026-40976
criticalPriorität · verfolgen · 10OT-Risiko · erhöhtEPSS 0.005 · 45. PerzentilExploit · PoCDEEUFRNLUSEPSS · bewertet 2026-10-22
In certain circumstances, Spring Boot's default web security is ineffective allowing unauthorized access to all endpoints. For an application to be vulnerable, it must: be a servlet-based web application; have no Spring Security configuration of its own and rely on the default web security filter chain; depend on spring-boot-actuator-autoconfigure; not depend on spring-boot-health. If any of the above does not apply, the application is not vulnerable. Affected: Spring Boot 4.0.0–4.0.5; upgrade to 4.0.6 or later per vendor advisory.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen
SSVC
Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
Exploits (1)
Öffentlicher Proof-of-Concept- und Exploit-Code.
- madebyrokit/CVE-2026-40976-POCmadebyrokit/CVE-2026-40976-POCPoC · poc_in_github
betroffene Produkte (49)
Betroffene Produkte und Versionsbereiche.
- IBM InfoSphere Information Serveralle Versionencert_bundDEcpe:/a:ibm:infosphere_information_server:-
- Oracle Financial Services Applications 14.5.0-14.8.0alle Versionencert_bundDEcpe:/a:oracle:financial_services_applications:14.5.0-14.8.0
- Oracle Financial Services Applications 8.0.7.9.0alle Versionencert_bundDEcpe:/a:oracle:financial_services_applications:8.0.7.9.0
- Oracle Financial Services Applications 8.0.8.7.0alle Versionencert_bundDEcpe:/a:oracle:financial_services_applications:8.0.8.7.0
- Oracle Financial Services Applications 8.1.2.5.0alle Versionencert_bundDEcpe:/a:oracle:financial_services_applications:8.1.2.5.0
- Oracle Financial Services Applications 8.1.2.7alle Versionencert_bundDEcpe:/a:oracle:financial_services_applications:8.1.2.7
- Oracle Financial Services Applications 8.1.2.9alle Versionencert_bundDEcpe:/a:oracle:financial_services_applications:8.1.2.9
- Oracle Financial Services Applications 8.1.3.0alle Versionencert_bundDEcpe:/a:oracle:financial_services_applications:8.1.3.0
- Oracle Financial Services Applications 8.1.3.1alle Versionencert_bundDEcpe:/a:oracle:financial_services_applications:8.1.3.1
- Red Hat Enterprise Linux Apache Camel for Spring Bootalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:apache_camel_for_spring_boot
Advisories (8)
Hersteller- und Ökosystem-Meldungen dazu.
- NCSC-2026-0256Kwetsbaarheden verholpen in Oracle CommunicationsNL2026-07-22csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in Communications producten en onderliggende third party software. Het betreft een totaal van 213 kwetsbaarheden, waarvan 67 zich bevinden in Oracle producten en 146 in third-party producten waar eerder updates voor zijn verschenen en welke in deze Oracle updates zijn verwerkt.
- NCSC-2026-0258Kwetsbaarheden verholpen in Oracle Financial ServicesNL2026-07-22csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in diverse Financial Services modules. Ook heeft Oracle updates voor diverse third-party-producten verwerkt.
- WID-SEC-W-2026-1263VMware Tanzu Spring Boot: Mehrere SchwachstellenDeutsch2026-04-23csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in VMware Tanzu Spring Boot ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Daten zu manipulieren oder offenzulegen oder authentifizierte Benutzer zu kapern.
- WID-SEC-W-2026-2260IBM Operational Decision Manager: Mehrere SchwachstellenDeutsch2026-07-08csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in IBM Operational Decision Manager ausnutzen, um beliebigen Programmcode auszuführen, um seine Privilegien zu erhöhen, um einen Denial of Service Angriff durchzuführen, um Informationen offenzulegen, um Dateien zu manipulieren, und um Sicherheitsvorkehrungen zu umgehen.
- WID-SEC-W-2026-2437Oracle Communications: Mehrere SchwachstellenDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
- WID-SEC-W-2026-2445Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
- GHSA-8v8j-3hxp-93wrSpring Boot's default security filter chain has no authorization rule with Actuator but without Health2026-04-28ghsa · osvUS
In certain circumstances, Spring Boot's default web security is ineffective allowing unauthorized access to all endpoints. For an application to be vulnerable, it must: be a servlet-based web application; have no Spring Security configuration of its own and rely on the default web security filter chain; depend on spring-boot-actuator-autoconfigure; not depend on spring-boot-health. If any of the above does not apply, the application is not vulnerable. Affected: Spring Boot 4.0.0–4.0.5; upgrade to 4.0.6 or later per vendor advisory.
- CERTFR-2026-AVI-1336Multiples vulnérabilités dans les produits IBMFrançais2026-10-16vendor · certfrFR
auch bekannt als (3)
Weitere Namen und Kennungen dieser Entität.
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (7)
Externe Belege — Patches, Meldungen, Analysen.
- https://nvd.nist.gov/vuln/detail/CVE-2026-40976cnnvd
- https://spring.io/security/cve-2026-40976Patchcnnvd
- https://spring.io/security/cve-2026-40976enisa_euvd
- https://access.redhat.com/security/cve/CVE-2026-40976nvd
- https://bugzilla.redhat.com/show_bug.cgi?id=2463322nvd
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-40976.jsonnvd
- https://spring.io/security/cve-2026-40976Vendor Advisorynvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan