Spring Security JdbcOneTimeTokenService अनुमति देता है कि एक बार टोकन कई सत्रों को प्रमाणित करे

CVE-2026-22751 Spring Security का उपयोग करने वाले Spring अनुप्रयोगों को प्रभावित करता है, विशेष रूप से जो JdbcOneTimeTokenService के माध्यम से One-Time Token लॉगिन को कॉन्फ़िगर करते हैं। यह एक Time-of-check Time-of-use (TOCTOU) रेस कंडीशन भेद्यता है। एक हमलावर टोकन के सत्यापन और उसके वास्तविक उपयोग के बीच एक संक्षिप्त समय विंडो का फायदा उठा सकता है। यदि हमलावर इन दोनों बिंदुओं के बीच डेटाबेस को संशोधित करने में सक्षम है, तो वह अनधिकृत पहुंच प्राप्त कर सकता है। प्रभावित संस्करणों में Spring Security: 6.4.0 से 6.4.15, 6.5.0 से 6.5.9 और 7.0.0 से 7.0.4 शामिल हैं। CVSS के अनुसार गंभीरता 4.8 है, जो मध्यम जोखिम का संकेत देता है।

Organizations utilizing Spring Security with JdbcOneTimeTokenService for One-Time Token login are at risk. This includes applications with custom authentication flows or those relying on Spring Security's built-in One-Time Token functionality. Specifically, those using Spring Boot applications with default configurations may be vulnerable if they haven't explicitly upgraded.

• java / server:

# Check Spring Security version
java -jar your_application.jar | grep 'Spring Security' 

• java / server:

# Examine application logs for authentication failures or unusual token activity
grep -i 'one-time token' /path/to/application.log

• java / supply-chain:

# Check for vulnerable dependencies using Maven or Gradle
# Example using Maven: mvn dependency:tree | grep 'spring-security' 

1. 2026-04-21Disclosure

   disclosure

1. आरक्षित2026-01-09
2. प्रकाशित2026-04-21
3. EPSS अद्यतन2026-04-29

सबसे प्रभावी समाधान Spring Security को संस्करण 6.4.16 या उच्चतर, 6.5.10 या उच्चतर या 7.0.5 या उच्चतर में अपग्रेड करना है। इन संस्करणों में TOCTOU रेस कंडीशन को कम करने के लिए फिक्स शामिल हैं। यदि तत्काल अपग्रेड संभव नहीं है, तो अस्थायी शमन उपायों पर विचार करें, जैसे कि One-Time टोकन संग्रहीत करने वाले डेटाबेस तक पहुंच को प्रतिबंधित करना, सख्त पहुंच नियंत्रण लागू करना और संदिग्ध गतिविधि के लिए एप्लिकेशन की निगरानी करना। प्रत्येक एप्लिकेशन के लिए विशिष्ट जोखिम का मूल्यांकन करना और सबसे उपयुक्त सुरक्षा उपायों को लागू करना महत्वपूर्ण है।