CVE-2026-40994

highPriorität · verfolgen · 0OT-Risiko · erhöhtEPSS 0.002 · 14. PerzentilEUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.23% (14th) EPSS

CVSS 8.2 · high

Is it mine?

12 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · nvd · osv

EPSS · bewertet 2026-10-27

Wss4jSecurityInterceptor initialized its BSP (WS-I Basic Security Profile) compliance flag so that inbound validation disabled WSS4J BSP enforcement on RequestData. Services that validate WS-Security on the network could therefore accept messages that violate BSP rules, weakening protocol-level checks. Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

8.2

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.18.2highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:Nsecondary · ENISA EU

v3.18.2highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:Nsecondary · security@vmware.comAusnutzbarkeit 3.9 · Auswirkung 4.2

v3.18.2highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:Nsecondary · OSV

v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: yes · Technical Impact: partialcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-1188USCWE-1188US

betroffene Produkte (12)

Betroffene Produkte und Versionsbereiche.

Spring Spring Web Services3.1.0 → 3.1.9enisa_euvdEU
Spring Spring Web Services4.0.0 → 4.0.19enisa_euvdEU
Spring Spring Web Services4.1.0 → 4.1.3.1enisa_euvdEU
Spring Spring Web Services5.0.0 → 5.0.1.1enisa_euvdEU
broadcom spring web services< 3.1.9nvdUScpe:2.3:a:broadcom:spring_web_services:*:*:*:*:*:*:*:*
broadcom spring web services4.0.0 → 4.0.19nvdUScpe:2.3:a:broadcom:spring_web_services:*:*:*:*:*:*:*:*
broadcom spring web services4.1.0 → 4.1.3.1nvdUScpe:2.3:a:broadcom:spring_web_services:*:*:*:*:*:*:*:*
broadcom spring web services5.0.0 → 5.0.1.1nvdUScpe:2.3:a:broadcom:spring_web_services:*:*:*:*:*:*:*:*
Maven org.springframework.ws:spring-ws-security3.1.0 → 3.1.8osvUSpkg:maven/org.springframework.ws/spring-ws-security
Maven org.springframework.ws:spring-ws-security4.0.0 → 4.0.18osvUSpkg:maven/org.springframework.ws/spring-ws-security
Maven org.springframework.ws:spring-ws-security4.1.0 → 4.1.4osvUSpkg:maven/org.springframework.ws/spring-ws-security
Maven org.springframework.ws:spring-ws-security5.0.0 → 5.0.2osvUSpkg:maven/org.springframework.ws/spring-ws-security

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

GHSA-gg9r-wr4p-w63hSpring Web Services: Wss4jSecurityInterceptor disables WS-I BSP validation by default2026-06-11ghsa · osvUS
Wss4jSecurityInterceptor initialized its BSP (WS-I Basic Security Profile) compliance flag so that inbound validation disabled WSS4J BSP enforcement on RequestData. Services that validate WS-Security on the network could therefore accept messages that violate BSP rules, weakening protocol-level checks. Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd nvd osv NVD CVE.org MITRE

veröffentlicht 2026-06-11geändert 2026-09-04

Referenzen (4)

Externe Belege — Patches, Meldungen, Analysen.

https://nvd.nist.gov/vuln/detail/CVE-2026-40994 cnnvd
https://spring.io/security/cve-2026-40994Patchcnnvd
https://spring.io/security/cve-2026-40994 enisa_euvd
https://spring.io/security/cve-2026-40994Vendor AdvisoryMitigationnvd

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan