CVE-2025-22234
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2025
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
Spring Security - BCrypt Password Encoder maximum password length breaks timing attack mitigation
The fix applied in CVE-2025-22228 inadvertently broke the timing attack mitigation implemented in DaoAuthenticationProvider. This can allow attackers to infer valid usernames or other authentication behavior via response-time differences under certain configurations.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
Spring Security
- Fornecedor
- Spring
- Produto
- Spring Security
- Plataformas
- Desconhecido
- Status padrão
affected- Coleção do pacote
- https://spring.io/projects/spring-security
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 5.7.16 | affected | semver | Indisponível | Indisponível | Nenhuma listada |
| 5.8.18 | affected | semver | Indisponível | Indisponível | Nenhuma listada |
| 6.0.16 | affected | semver | Indisponível | Indisponível | Nenhuma listada |
| 6.1.14 | affected | semver | Indisponível | Indisponível | Nenhuma listada |
| 6.2.10 | affected | semver | Indisponível | Indisponível | Nenhuma listada |
| 6.3.8 | affected | semver | Indisponível | Indisponível | Nenhuma listada |
| 6.4.4 | affected | semver | Indisponível | Indisponível | Nenhuma listada |