漏洞概述 CVE-2026-40988: Unbounded DEFLATE Inflation in SAML 2.0 Service Provider 描述: 使用 和 SAML 的 REDIRECT 绑定的应用程序，其 2.0 登录或注销功能可能因未受限制的写入器而容易受到拒绝服务攻击，该写入器会将压缩的 SAML 负载膨胀到内存中。 影响范围 受影响的 Spring Security 版本: - 5.7.0 - 5.7.23 - 5.8.0 - 5.8.25 - 6.3.0 - 6.3.16 - 6.4.0 - 6.4.16 - 6.5.0 - 6.5.10 - 7.0.0 - 7.0.5 - 其他不受支持的版本也受到影响。 修复方案 缓解措施: 受影响的版本用户应升级到相应的修复版本。 - 5.7.x: 升级到 5.7.24（仅限企业支持） - 5.8.x: 升级到 5.8.26（仅限企业支持） - 6.3.x: 升级到 6.3.17（仅限企业支持） - 6.4.x: 升级到 6.4.17（仅限企业支持） - 6.5.x: 升级到 6.5.11（开源） - 7.0.x: 升级到 7.0.6（开源） 额外建议: 对于 SAML 登录，建议通过以下方式禁用 SAML 响应中的 GET 请求： 其他信息 参考链接: NVD 链接 历史: 2026-06-09: 初始漏洞报告发布。