CVE-2025-41249

Défaut d’annotation dans Spring Framework

Une faille de sécurité, identifiée sous la référence CVE-2025-41249, affecte le Spring Framework. Ce défaut survient lors de la détection erronée d’annotations sur des méthodes situées dans des hiérarchies de types possédant un supertype paramétré avec des génériques non bornés. Cette mauvaise interprétation peut avoir des conséquences sur les décisions d’autorisation prises par le système.

Points clés :

• La vulnérabilité est liée à la gestion des annotations dans les hiérarchies de types complexes.
• Elle concerne spécifiquement l’utilisation de la fonctionnalité @EnableMethodSecurity de Spring Security.

Vulnérabilités :

• CVE-2025-41249 : Résolution incorrecte des annotations sur des méthodes de superclasses/interfaces génériques paramétrées avec des génériques non bornés, impactant les décisions d’autorisation.

Recommandations :

• Les applications utilisant @EnableMethodSecurity avec des annotations de sécurité sur des méthodes de superclasses ou interfaces génériques sont concernées.
• Les applications n’utilisant pas @EnableMethodSecurity ou ne plaçant pas d’annotations de sécurité dans de tels contextes ne sont pas affectées.

Source