CVE-2026-100192mediumCWE-306

CVE-2026-100192: fallo de gravedad media en yzcheng90 X-SpringBoot

X-SpringBoot through 6.0 Credential Exposure via Unauthenticated Endpoint

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear X-SpringBoot

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 6.9epss 0.3%
X-SpringBoot through 6.0 exposes appKey and appSecret credentials in the GET /application/manager/select endpoint without authentication or field filtering. Unauthenticated attackers can retrieve these credentials and use them to send arbitrary SMS messages through any tenant's SMS provider, enabling SMS bombing and impersonation attacks.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
yzcheng90 · X-SpringBoot
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — yzcheng90 X-SpringBoot

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-6731MEDIUMyzcheng90 X-SpringBoot APK File apk uploadApk path traversalEPSS 0.4%CVE-2026-97060HIGHX-SpringBoot through 6.0 Authorization Bypass via User ManagementEPSS 0.3%CVE-2026-97064CRITICALX-SpringBoot through 6.0 Authentication Bypass via Static Master CodeEPSS 0.3%CVE-2026-97063CRITICALX-SpringBoot through 6.0 Authentication Bypass via Login CodeEPSS 0.3%