🛡️ tsecurity.de
Zur Startseite 🏭 Hersteller 🧭 ATT&CK 🎯 Ausgenutzt 🔖 Lesezeichen
🎯 CVE-2026-22732 🇪🇺 EUVD
💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕
Social ReaktionenReagiere als Erste:r — dein Feedback zählt!

CVE-2026-22732 | When applications specify HTTP response headers for servlet applications using Spring Security, there is the possibility that the HTTP Headers will not be written.  This issue affects Spring Security Servlet applications using lazy (default) writing of HTTP Headers: : from 5.7.0 through 5.7.21, from 5.8.0 through 5.8.23, from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.8, from 7.0.0 through 7.0.3.

When applications specify HTTP response headers for servlet applications using Spring Security, there is the possibility that the HTTP Headers will not be written. 
This issue affects Spring Security Servlet applications using lazy (default) writing of HTTP Headers:

: from 5.7.0 through 5.7.21, from 5.8.0 through 5.8.23, from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.8, from 7.0.0 through 7.0.3.

Klassifikation & Betroffenheit:
CWE-425 VMware Spring Security 5.7.0 ≤5.7.21Spring Security 6.5.0 ≤6.5.8Spring Security 6.4.0 ≤6.4.14Spring Security 5.8.0 ≤5.8.23Spring Security 6.3.0 ≤6.3.14Spring Security 7.0.0 ≤7.0.3vmware spring_security *
Direct Request

The web application does not adequately enforce appropriate authorization on all restricted URLs, scripts, or files.

🛡️ Empfohlene Mitigation: Apply appropriate access control authorizations for each access to all restricted URLs, scripts or files.
Vollständige Definition bei MITRE ➔
⚔️ Typische Angriffsmuster (CAPEC):
CAPEC-87 · Forceful Browsing (High) CAPEC-127 · Directory Indexing (Medium) CAPEC-143 · Detect Unpublicized Web Pages (Low) CAPEC-144 · Detect Unpublicized Web Services (Low) CAPEC-668 · Key Negotiation of Bluetooth Attack (KNO… (High)
🎯 ATT&CK-Techniken (Kill-Chain-Verhalten):
T1083 · File and Directory Discovery T1565.002 · Data Manipulation: Transmitted Dat…
🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):
CVE-2025-41240 10.0 CVE-2026-59309 9.8 CVE-2026-59310 9.8 CVE-2026-47865 9.8 CVE-2022-43110 9.8
🧪 Exploit-Evidenz:
🐙 semgrep/cve-2026-22732-demo 🐙 moderneinc/rewrite-cve-2026-2273 🐙 dylan-chainguard/cve-2026-22732-
🩹 Patch verfügbar (OSV):
🩹 0c54a55ae831c691449d4750abf5bc48cdbb6d96 (Commit) 🩹 9bd793ffe65082f36305f6e285643fbb28f926e3 (Commit)
🇩🇪 BSI-Sicherheitshinweise: BSI · hoch · Oracle Financial Services Applications: Mehrere Schwachstellen ↗ BSI · hoch · Oracle Siebel CRM: Mehrere Schwachstellen ↗ BSI · hoch · Atlassian Bamboo, Bitbucket, Confluence, Fisheye, Crucible, Jira und J ↗
📚 Referenzen & Quellen:
🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag
Ausnutzungs-Zeitleiste:
CVSS-Vektor-Analyse: 9.1
AV · Angriffsvektor Netzwerk
AC · Komplexität Gering
PR · Privilegien Keine
UI · Interaktion Keine
S · Scope Unverändert
C · Vertraulichkeit Hoch
I · Integrität Hoch
A · Verfügbarkeit Keine
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CNA-Bewertung (vmware): 9.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Veröffentlicht:19.03.2026
Aktualisiert:17.06.2026 10:20
Assigner (CNA):vmware
EUVD-ID:EUVD-2026-13347
Quellen: 🇪🇺 EUVD-Datenbank (ENISA) + 🇺🇸 NVD-Anreicherung · 24-h-Cache
CWE-425 ✓ Offizieller Patch / Advisory verfügbar
💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.
👁 Sichtung melden

Du hast diese Schwachstelle in deiner Umgebung beobachtet (oder einen Fehlalarm erkannt)? Melde es — nach redaktioneller Freigabe zählt deine Meldung in den Sighting-Vertrauensscore.

🔴 Live Security Advisory & EPSS Exploit Radar

Zero-Day & Vulnerability Intelligence Hub

Echtzeit-Tracking mit EPSS Exploit-Wahrscheinlichkeiten, Angriffsvektor-Decodern und KI-Patch-Anleitungen.

🟢 SSE Realtime Synchronisiert ⚡ REST API (JSON) 📡 Digest (RSS) 📡 RSS Feed
398k+ 🇪🇺 EUVD-Datenbank
1 🔴 Critical im Radar
0 ⚠️ CISA KEV
0 🔓 Aktiv ausgenutzt
0 🧪 PoC verfügbar
8 🆕 Neu im KEV (7 T)
📊 Historien-Charts — Criticals-Trend · Vendors · EPSS-Verteilung
🔴 Criticals pro Monat (12 M) 2025-11: 253 Nov 25 2025-12: 426 2026-01: 433 Jan 26 2026-02: 419 2026-03: 652 Mär 26 2026-04: 578 2026-05: 683 Mai 26 2026-06: 944 2026-07: 1329 Jul 26 2026-08: 1829 2026-09: 1552 Sep 26 2026-10: 1293 10.391 Criticals gesamt
🏢 Top-Vendor-Veröffentlichungen (6 M) Apache Software Foundation Google IBM Linux Microsoft Oracle Corporation
● Apache ● Google ● IBM ● Linux ● Microsoft ● Oracle
📈 EPSS-Verteilung (Messungen)
TierCVEsAnteil
≥90 %7600,2 %
≥50 %3.3880,9 %
≥10 %22.5445,7 %
<10 %365.60293,2 %
392.294 CVEs mit EPSS-Score (FIRST.org) · Stand 03.11.2026
📈 EPSS-Riser (7 Tage) CVE-2025-31125 ↑ 9.18 % CVE-2025-58434 ↑ 6.14 % CVE-2015-9406 ↑ 3.86 %
Frühindikator · FIRST.org
Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).
🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS
Ökosystem & Hersteller Bedrohungs-Matrix:
Schweregrad & Status:
Hersteller (Datenbank-weit, 106.792 Einträge):
EPSS-Schwelle:
Exploit-Status:
Zeitfenster:
Sortierung:
Dynamik:
Quelle:
Schwachstellen-Kategorie (CWE):
🔍
9.1 CRITICAL
EPSS 0.5%
CVE-2026-22732 🌐 Netzwerk (Remote) 🔓 Keine Authentifizierung nötig
VMware

CVE-2026-22732 | When applications specify HTTP response headers for servlet applications using Spring Security, there is the possibility that the HTTP Headers will not be written.  This issue affects Spring Security Servlet applications using lazy (default) writing of HTTP Headers: : from 5.7.0 through 5.7.21, from 5.8.0 through 5.8.23, from 6.3.0 through 6.3.14, from 6.4.0 through 6.4.14, from 6.5.0 through 6.5.8, from 7.0.0 through 7.0.3.

When applications specify HTTP response headers for servlet applications using Spring Security, there is the possibility that the HTTP Headers will not be written.  This issue affects Spring Security Servlet applications using lazy (default

CWE-425 ✓ Offizieller Patch / Advisory verfügbar
💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.
🛡️ Details ➔
1 von ~1 Einträgen geladen Ende der Trefferliste — 1 Einträge geladen. Tipp: Filter leichtern für tieferes Blättern.