JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031795 Spring Securityのいくつかのコンポーネントは、セキュリティに敏感な値を比較する際に、定数時間比較ではなく標準の文字列等価比較（String.equals()）を使用しています。String.equals()は異なる文字を見つけた時点で直ちに処理を終了するため、不正な値を拒否するまでの時間は期待される値と一致する先頭の文字数に比例します。対象のバージョンは以下の通りです。Spring Security 7.1.0、Spring Security 7.0.0 - 7.0.6、Spring Security 6.5.0 - 6.5.11、Spring Security 6.4.0 - 6.4.18、Spring Security 5.8.0 - 5.8.27、Spring Security 5.7.0 - 5.7.25となっています。 cpe:/a:vmware:spring_security https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031795.html Common Vulnerabilities and Exposures (CVE) CVE-2026-59276 https://www.cve.org/CVERecord?id=CVE-2026-59276 National Vulnerability Database (NVD) CVE-2026-59276 https://nvd.nist.gov/vuln/detail/CVE-2026-59276 JVNDB CWE-208 https://cwe.mitre.org/data/definitions/208.html Spring Security Advisories Timing Attack via Non-Constant-Time Comparison of Sensitive Values https://spring.io/security/cve-2026-59276 2026-09-03T15:46:59+09:00 2026-09-03T15:46:59+09:00