All vulnerabilities
CVE-2026-47892GHSA-9qf2-26p9-2q2q

org.springframework:spring-webflux: Spring Framework Header Predicate Bypass in WebFlux Functional Endpoints

Spring org.springframework:spring-webfluxmavenFrameworks
Open in ThreatlineRecord JSON
CVSS
9.8Critical
ExploitationNo known exploitationNot in CISA KEV, which does not prove it is unexploitedCISA KEV
Exploit odds (EPSS)0.53%Chance of exploitation activity in the next 30 days, higher than 43% of CVEs. Scored 23 Oct 2026FIRST EPSS
Fixed in7.0.9Fixed versionGitHub
Published27 Aug 2026Updated 7 Oct 2026CVE List

What fixes it

  • 7.0.9org.springframework:spring-webflux, mavenGitHub<dependency><groupId>org.springframework</groupId><artifactId>spring-webflux</artifactId><version>7.0.9</version></dependency>
  • 7.0.9org.springframework:spring-webflux, MavenOSV<dependency><groupId>org.springframework</groupId><artifactId>spring-webflux</artifactId><version>7.0.9</version></dependency>

A fixed version on one release line is not the upgrade target for every line. Check your exact version and any vendor backports.

Description

A WebFlux application using functional endpoints and deployed with DispatcherServlet may be vulnerable to a header predicate bypass in a pre-flight request. Spring Framework 7.0.0 - 7.0.8 Spring Framework 6.2.0 - 6.2.19 Spring Framework 6.1.0 - 6.1.28 Spring Framework 6.0.0 - 6.0.30 Spring Framework 5.3.0 - 5.3.49 Spring Framework 5.2.5.RELEASE - 5.2.25.RELEASE

Text from GitHub Advisory Database

Affected versions 154

  • org.springframework:spring-webflux, maven>= 5.2.5.RELEASE, <= 5.2.25.RELEASEGitHub
  • org.springframework:spring-webflux, maven>= 5.3.0, <= 5.3.49GitHub
  • org.springframework:spring-webflux, maven>= 6.0.0, <= 6.0.30GitHub
  • org.springframework:spring-webflux, maven>= 6.1.0, <= 6.1.28GitHub
  • org.springframework:spring-webflux, maven>= 6.2.0, <= 6.2.19GitHub
  • org.springframework:spring-webflux, maven>= 7.0.0, <= 7.0.8GitHub
  • Spring Frameworkaffected: 7.0.0 through 7.0.8CVE List
  • Spring Frameworkaffected: 6.2.0 through 6.2.19CVE List
  • Spring Frameworkaffected: 6.1.0 through 6.1.28CVE List
  • Spring Frameworkaffected: 6.0.0 through 6.0.30CVE List
  • Spring Frameworkaffected: 5.3.0 through 5.3.49CVE List
  • Spring Frameworkaffected: 5.2.5.RELEASE through 5.2.25.RELEASECVE List
  • org.springframework:spring-webflux, Mavenfrom 5.2.5.RELEASE, through 5.2.25.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.10.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.11.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.12.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.13.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.14.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.15.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.16.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.17.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.18.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.19.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.20.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.21.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.22.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.23.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.24.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.25.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.5.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.6.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.7.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.8.RELEASEOSV
  • org.springframework:spring-webflux, Maven5.2.9.RELEASEOSV
  • org.springframework:spring-webflux, Mavenfrom 5.3.0, through 5.3.49OSV
  • org.springframework:spring-webflux, Maven5.3.0OSV
  • org.springframework:spring-webflux, Maven5.3.1OSV
  • org.springframework:spring-webflux, Maven5.3.10OSV
  • org.springframework:spring-webflux, Maven5.3.11OSV
  • org.springframework:spring-webflux, Maven5.3.12OSV
  • org.springframework:spring-webflux, Maven5.3.13OSV
  • org.springframework:spring-webflux, Maven5.3.14OSV
  • org.springframework:spring-webflux, Maven5.3.15OSV
  • org.springframework:spring-webflux, Maven5.3.16OSV
  • org.springframework:spring-webflux, Maven5.3.17OSV
  • org.springframework:spring-webflux, Maven5.3.18OSV
  • org.springframework:spring-webflux, Maven5.3.19OSV
  • org.springframework:spring-webflux, Maven5.3.2OSV
  • org.springframework:spring-webflux, Maven5.3.20OSV
  • org.springframework:spring-webflux, Maven5.3.21OSV
  • org.springframework:spring-webflux, Maven5.3.22OSV
  • org.springframework:spring-webflux, Maven5.3.23OSV
  • org.springframework:spring-webflux, Maven5.3.24OSV
  • org.springframework:spring-webflux, Maven5.3.25OSV
  • org.springframework:spring-webflux, Maven5.3.26OSV
  • org.springframework:spring-webflux, Maven5.3.27OSV
  • org.springframework:spring-webflux, Maven5.3.28OSV
  • org.springframework:spring-webflux, Maven5.3.29OSV
  • org.springframework:spring-webflux, Maven5.3.3OSV
  • org.springframework:spring-webflux, Maven5.3.30OSV
  • org.springframework:spring-webflux, Maven5.3.31OSV
  • org.springframework:spring-webflux, Maven5.3.32OSV
  • org.springframework:spring-webflux, Maven5.3.33OSV
  • org.springframework:spring-webflux, Maven5.3.34OSV
  • org.springframework:spring-webflux, Maven5.3.35OSV
  • org.springframework:spring-webflux, Maven5.3.36OSV
  • org.springframework:spring-webflux, Maven5.3.37OSV
  • org.springframework:spring-webflux, Maven5.3.38OSV
  • org.springframework:spring-webflux, Maven5.3.39OSV
  • org.springframework:spring-webflux, Maven5.3.4OSV
  • org.springframework:spring-webflux, Maven5.3.5OSV
  • org.springframework:spring-webflux, Maven5.3.6OSV
  • org.springframework:spring-webflux, Maven5.3.7OSV
  • org.springframework:spring-webflux, Maven5.3.8OSV
  • org.springframework:spring-webflux, Maven5.3.9OSV
  • org.springframework:spring-webflux, Mavenfrom 6.0.0, through 6.0.30OSV
  • org.springframework:spring-webflux, Maven6.0.0OSV
  • org.springframework:spring-webflux, Maven6.0.1OSV
  • org.springframework:spring-webflux, Maven6.0.10OSV
  • org.springframework:spring-webflux, Maven6.0.11OSV
  • org.springframework:spring-webflux, Maven6.0.12OSV
  • org.springframework:spring-webflux, Maven6.0.13OSV
  • org.springframework:spring-webflux, Maven6.0.14OSV
  • org.springframework:spring-webflux, Maven6.0.15OSV
  • org.springframework:spring-webflux, Maven6.0.16OSV
  • org.springframework:spring-webflux, Maven6.0.17OSV
  • org.springframework:spring-webflux, Maven6.0.18OSV
  • org.springframework:spring-webflux, Maven6.0.19OSV
  • org.springframework:spring-webflux, Maven6.0.2OSV
  • org.springframework:spring-webflux, Maven6.0.20OSV
  • org.springframework:spring-webflux, Maven6.0.21OSV
  • org.springframework:spring-webflux, Maven6.0.22OSV
  • org.springframework:spring-webflux, Maven6.0.23OSV
  • org.springframework:spring-webflux, Maven6.0.3OSV
  • org.springframework:spring-webflux, Maven6.0.4OSV
  • org.springframework:spring-webflux, Maven6.0.5OSV
  • org.springframework:spring-webflux, Maven6.0.6OSV
  • org.springframework:spring-webflux, Maven6.0.7OSV
  • org.springframework:spring-webflux, Maven6.0.8OSV
  • org.springframework:spring-webflux, Maven6.0.9OSV
  • org.springframework:spring-webflux, Mavenfrom 6.1.0, through 6.1.28OSV
  • org.springframework:spring-webflux, Maven6.1.0OSV
  • org.springframework:spring-webflux, Maven6.1.1OSV
  • org.springframework:spring-webflux, Maven6.1.10OSV
  • org.springframework:spring-webflux, Maven6.1.11OSV
  • org.springframework:spring-webflux, Maven6.1.12OSV
  • org.springframework:spring-webflux, Maven6.1.13OSV
  • org.springframework:spring-webflux, Maven6.1.14OSV
  • org.springframework:spring-webflux, Maven6.1.15OSV
  • org.springframework:spring-webflux, Maven6.1.16OSV
  • org.springframework:spring-webflux, Maven6.1.17OSV
  • org.springframework:spring-webflux, Maven6.1.18OSV
  • org.springframework:spring-webflux, Maven6.1.19OSV
  • org.springframework:spring-webflux, Maven6.1.2OSV
  • org.springframework:spring-webflux, Maven6.1.20OSV
  • org.springframework:spring-webflux, Maven6.1.21OSV
  • org.springframework:spring-webflux, Maven6.1.3OSV
  • org.springframework:spring-webflux, Maven6.1.4OSV
  • org.springframework:spring-webflux, Maven6.1.5OSV
  • org.springframework:spring-webflux, Maven6.1.6OSV
  • org.springframework:spring-webflux, Maven6.1.7OSV
  • org.springframework:spring-webflux, Maven6.1.8OSV
  • org.springframework:spring-webflux, Maven6.1.9OSV
  • org.springframework:spring-webflux, Mavenfrom 6.2.0, through 6.2.19OSV
  • org.springframework:spring-webflux, Maven6.2.0OSV
  • org.springframework:spring-webflux, Maven6.2.1OSV
  • org.springframework:spring-webflux, Maven6.2.10OSV
  • org.springframework:spring-webflux, Maven6.2.11OSV
  • org.springframework:spring-webflux, Maven6.2.12OSV
  • org.springframework:spring-webflux, Maven6.2.13OSV
  • org.springframework:spring-webflux, Maven6.2.14OSV
  • org.springframework:spring-webflux, Maven6.2.15OSV
  • org.springframework:spring-webflux, Maven6.2.16OSV
  • org.springframework:spring-webflux, Maven6.2.17OSV
  • org.springframework:spring-webflux, Maven6.2.18OSV
  • org.springframework:spring-webflux, Maven6.2.19OSV
  • org.springframework:spring-webflux, Maven6.2.2OSV
  • org.springframework:spring-webflux, Maven6.2.3OSV
  • org.springframework:spring-webflux, Maven6.2.4OSV
  • org.springframework:spring-webflux, Maven6.2.5OSV
  • org.springframework:spring-webflux, Maven6.2.6OSV
  • org.springframework:spring-webflux, Maven6.2.7OSV
  • org.springframework:spring-webflux, Maven6.2.8OSV
  • org.springframework:spring-webflux, Maven6.2.9OSV
  • org.springframework:spring-webflux, Mavenfrom 7.0.0, fixed in 7.0.9OSV
  • org.springframework:spring-webflux, Maven7.0.0OSV
  • org.springframework:spring-webflux, Maven7.0.1OSV
  • org.springframework:spring-webflux, Maven7.0.2OSV
  • org.springframework:spring-webflux, Maven7.0.3OSV
  • org.springframework:spring-webflux, Maven7.0.4OSV
  • org.springframework:spring-webflux, Maven7.0.5OSV
  • org.springframework:spring-webflux, Maven7.0.6OSV
  • org.springframework:spring-webflux, Maven7.0.7OSV
  • org.springframework:spring-webflux, Maven7.0.8OSV

References 3