CVE-2026-41841

Spring Framework Information Disclosure via Static Resource Cache in Spring MVC and WebFlux

Description

Spring MVC and WebFlux applications are vulnerable to Information Disclosure attacks when resolving static resources. Affected versions: Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.

Scores

Weaknesses (CWE)

• CWE-524

Advisories

• GHSA-mq64-j8f9-9gcj — Spring Framework Information Disclosure via Static Resource Cache in Spring MVC and WebFlux

European references

• ENISA EUVD · EUVD-2026-35328
• GCVE · GCVE-0-2026-41841

CERT-FR advisories

• CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
• CERTFR-2026-AVI-1355 — Multiples vulnérabilités dans Oracle Weblogic · cert.ssi.gouv.fr
• CERTFR-2026-AVI-1336 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2026-AVI-1206 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2026-AVI-0958 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2026-AVI-0933 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
• CERTFR-2026-AVI-0705 — Multiples vulnérabilités dans les produits Spring · cert.ssi.gouv.fr

Affected configurations (NVD CPE)

• cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* ≥ 5.3.0 < 5.3.49
• cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* ≥ 6.1.0 < 6.1.28
• cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* ≥ 6.2.0 < 6.2.18.1
• cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* ≥ 7.0.0 < 7.0.7.1

Affected products

References

• https://spring.io/security/cve-2026-41841

Sources