CVE-2024-22257

highpriority · track · 0OT risk · elevatedEPSS 0.010 · 61 %ileDEEUNLRUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.96% (61st) EPSS

CVSS 8.2 · high

Is it mine?

192 products

Check your exposure

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · scored 2026-10-22

In Spring Security, versions 5.7.x prior to 5.7.12, 5.8.x prior to 5.8.11, versions 6.0.x prior to 6.0.9, versions 6.1.x prior to 6.1.8, versions 6.2.x prior to 6.2.3, an application is possible vulnerable to broken access control when it directly uses the AuthenticatedVoter#vote passing a null Authentication parameter.

cvss

Technical severity, 0–10. One row per scoring source.

8.2

010

base score 0–10 · higher = more severe · hover a vector to decode

v3.18.2highAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:Nsecondary · FSTEC (BDU) RU

v3.18.2highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:Nsecondary · ENISA EU

v3.18.2highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:Nsecondary · security@vmware.comexploitability 3.9 · impact 4.2

v3.18.2highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:Nsecondary · OSV

v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N/E:Usecondary · CVSS-BT (t0sche)

v3.18.2highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:Nsecondary · NCSC-NL NL

ssvc

A stakeholder decision — act, attend, or track — from exploitation and impact.

Exploitation: none · Automatable: yes · Technical Impact: partialcoordinatorcisa_ssvcUS

weaknesses

The CWE weakness classes this flaw belongs to.

CWE-284USCWE-284USCWE-287USCWE-862USCWE-862US

affected products (192)

Products and version ranges known to be affected.

Oracle Linuxall versionscert_bundDEcpe:/o:oracle:linux:-
Red Hat Enterprise Linuxall versionscert_bundDEcpe:/o:redhat:enterprise_linux:-
Atlassian Bamboo≤ Data Center <10.2.20cert_bundDE
Atlassian Bamboo≤ Data Center <12.1.8cert_bundDE
Atlassian Bitbucket≤ Data Center <10.2.4cert_bundDE
Atlassian Bitbucket≤ Data Center <10.3.1cert_bundDE
Atlassian Bitbucket≤ Data Center <9.4.21cert_bundDE
Atlassian Confluence≤ Data Center <10.2.13cert_bundDE
Atlassian Confluence≤ Data Center <9.2.21cert_bundDE
Atlassian Crucible< 4.9.11cert_bundDE
Atlassian Fisheye< 4.9.11cert_bundDE
Atlassian Jira≤ Data Center <10.3.22cert_bundDE
Atlassian Jira≤ Data Center <11.3.7cert_bundDE
Atlassian Jira≤ Service Management Data Center and Server <10.3.22cert_bundDE
Atlassian Jira≤ Service Management Data Center and Server <11.3.7cert_bundDE
Dell Secure Connect Gateway< 5.36.00.16cert_bundDE
n/a Spring Security≤ 6.2.0 to 6.2.2, 6.1.0 to 6.1.7, 6.0.0 to 6.0.9, 5.8.0 to 5.8.10, 5.7.0 to 5.7.11enisa_euvdEU
Broadcom Inc. Spring Security5.7.0 → 5.7.11fstec_bduRU
Broadcom Inc. Spring Security5.8.0 → 5.8.10fstec_bduRU
Broadcom Inc. Spring Security6.0.0 → 6.0.9fstec_bduRU

showing 20 of 192

advisories (16)

Vendor and ecosystem advisories describing this.

NCSC-2024-0231Kwetsbaarheden verholpen in Atlassian productenNL2024-05-22csaf · ncsc_nlNL
Atlassian heeft kwetsbaarheden verholpen in diverse producten, zoals Jira, Confluence en Bitbucket.
NCSC-2024-0293Kwetsbaarheden verholpen in Oracle Communications ApplicationsNL2024-07-17csaf · ncsc_nlNL
Er zijn kwetsbaarheden verholpen in Oracle Communications Applications.
NCSC-2024-0294Kwetsbaarheden verholpen in Oracle CommunicationsNL2024-07-17csaf · ncsc_nlNL
Er zijn kwetsbaarheden verholpen in Oracle Communications.
NCSC-2024-0303Kwetsbaarheden verholpen in Oracle MySQLNL2024-07-17csaf · ncsc_nlNL
Er zijn kwetsbaarheden verholpen in Oracle MySQL.
NCSC-2024-0414Kwetsbaarheden verholpen in Oracle CommunicationsNL2024-10-17csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in diverse Communications producten en systemen.
WID-SEC-W-2024-0658VMware Tanzu Spring Security: Schwachstelle ermöglicht Umgehen von SicherheitsvorkehrungenDeutsch2024-03-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in VMware Tanzu Spring Security ausnutzen, um Sicherheitsvorkehrungen zu umgehen.
WID-SEC-W-2024-0869Oracle Communications: Mehrere SchwachstellenDeutsch2024-04-16csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-1207Atlassian Bitbucket: Mehrere SchwachstellenDeutsch2024-05-21csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Atlassian Bitbucket ausnutzen, um die Vertraulichkeit und Integrität zu gefährden.
WID-SEC-W-2024-1214Atlassian Jira Software (Data Center und Server): Mehrere SchwachstellenDeutsch2024-05-21csaf · cert_bundDE
Ein entfernter anonymer Angreifer kann mehrere Schwachstellen in Atlassian Jira Software Data Center und Server ausnutzen, um einen Denial-of-Service-Zustand zu erzeugen, beliebigen Code auszuführen oder Daten zu manipulieren.
WID-SEC-W-2024-1642Oracle Communications: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-1643Oracle Communications Applications: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-1656Oracle MySQL: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle MySQL ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-1659Oracle Insurance Applications: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Insurance Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-3195Oracle Communications: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-1955Atlassian Bamboo, Bitbucket, Confluence, Fisheye, Crucible, Jira und Jira Service Management: Mehrere SchwachstellenDeutsch2026-06-16csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Atlassian Bamboo, Bitbucket, Confluence, Fisheye, Crucible, Jira und Jira Service Management ausnutzen, um beliebigen Code auszuführen, erweiterte Berechtigungen zu erlangen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand auszulösen.
GHSA-f3jh-qvm4-mg39Erroneous authentication pass in Spring Security2024-03-18ghsa · osvUS
In Spring Security, versions 5.7.x prior to 5.7.12, 5.8.x prior to 5.8.11, versions 6.0.x prior to 6.0.9, versions 6.1.x prior to 6.1.8, versions 6.2.x prior to 6.2.3, an application is possible vulnerable to broken access control when it directly uses the AuthenticatedVoter#vote passing a null Authentication parameter. Specifically, an application is vulnerable if: The application uses AuthenticatedVoter directly and a null authentication parameter is passed to it resulting in an erroneous true return value. An application is not vulnerable if any of the following is true: * The application does not use AuthenticatedVoter#vote directly. * The application does not pass null to AuthenticatedVoter#vote. Note that AuthenticatedVoter is deprecated since 5.8, use implementations of AuthorizationManager as a replacement.

also known as (4)

Other names and identifiers for this entity.

sources

Which sources assert this record, and when.

cnnvd enisa_euvd fstec_bdu cert_bund ncsc_nl osv NVD CVE.org MITRE

published 2024-03-18modified 2026-06-30

references (13)

External citations — patches, advisories, analysis.

scry

Attackers weaponise vulnerabilities like this against internet-exposed services. See what is exposed on your perimeter with a free passive scan.

Free scan