„`html

CVE-2026-47889: Fehlende SameSite-Attribute in Spring Framework WebFlux Cookies

Zusammenfassung

Eine kritische Schwachstelle in Spring Framework betrifft WebFlux-Anwendungen auf dem Jetty 12 Core Reactive Adapter. Die Vulnerability führt dazu, dass Response-Cookies ohne das sameSite-Attribut serialisiert werden. Dies ermöglicht potenzielle Cross-Site-Request-Forgery (CSRF)-Attacken und Session-Hijacking-Angriffe.

Betroffene Systeme

• Spring Framework 7.0.0 bis 7.0.8
• Spring Framework 6.2.0 bis 6.2.19
• WebFlux-Anwendungen mit Jetty 12 Core Reactive Adapter

Technische Details

Die Schwachstelle liegt in der Cookie-Serialisierung des Jetty 12 Core Reactive Adapters. Ohne das sameSite-Attribut werden Cookies über Cross-Site-Requests übertragen, was die Ausnutzung durch bösartige Websites ermöglicht.

CVSS-Score: 7.5 (High) | Angriffsvektor: Network

Angreifer können Session-Cookies manipulieren oder unbefugte Operationen im Kontext des authentifizierten Benutzers ausführen. Das fehlende sameSite-Flag verhindert nicht die automatische Cookie-Übertragung bei Cross-Origin-Requests.

Empfohlene Massnahmen

• Sofortiges Update auf Spring Framework 7.0.9 oder höher (7.x-Serie)
• Sofortiges Update auf Spring Framework 6.2.20 oder höher (6.x-Serie)
• Überprüfung der Cookie-Konfiguration auf sameSite-Attribute (Strict/Lax/None)
• Aktivierung von Secure-Flag und HttpOnly-Flag auf allen Session-Cookies
• Implementierung zusätzlicher CSRF-Schutzmaßnahmen (Token-basierte Validierung)
• Monitoring auf verdächtige Cross-Site-Anfragen durchführen

Bewertung

Diese Vulnerability stellt ein erhebliches Sicherheitsrisiko dar. Der Schweregrad „High“ mit CVSS 7.5 erfordert schnelle Patch-Maßnahmen. Da momentan kein Patch verfügbar ist, sollten organisationsinterne Workarounds implementiert werden. WebFlux-Anwendungen sollten prioritär aktualisiert werden.

„`