CVE-2025-41248

Faille dans Spring Security autorisant un contournement d’authentification

Une vulnérabilité identifiée sous le code CVE-2025-41248 affecte la librairie Spring Security. Elle résulte d’une mauvaise interprétation des annotations de sécurité (@PreAuthorize, par exemple) lorsqu’elles sont appliquées à des méthodes situées dans des hiérarchies de types dont les supertypes sont génériques et non bornés.

Points clés :

• La faille concerne les applications utilisant la fonctionnalité @EnableMethodSecurity de Spring Security.
• Le problème survient lorsque les annotations de sécurité ne sont pas correctement reconnues sur les méthodes héritées de superclasses ou interfaces génériques.
• Cela peut permettre un accès non autorisé à des points d’accès protégés.

Vulnérabilité :

• CVE-2025-41248

Recommandations :

• Mise à jour : Il est recommandé de mettre à jour Spring Security vers les versions corrigées.
• Contournement : En l’absence de mise à jour immédiate, il est conseillé de s’assurer que toutes les méthodes nécessitant une sécurisation sont explicitement déclarées dans leur classe cible.

Source