Veille Spring Boot — semaine du 26/10/2026

Spring Boot · Publié le

Spring Boot 4.0.9 et 4.1.2 : correctifs de sécurité et de stabilité

Spring Blog · 23/10/2026

En bref : Spring Boot publie deux versions correctives, 4.0.9 (99 corrections) et 4.1.2 (126 corrections), disponibles sur Maven Central. Le texte ne détaille que les titres des corrections et les mises à jour de dépendances, sans CVE mentionnée.

Ce qu'il faut retenir :

  • Corrections de sécurité côté OAuth2 : les JWT sont rejetés quand issuer-uri est vide et jwk-set-uri est défini (4.0.9 et 4.1.2), et authorities-claim-delimiter est ignoré quand il est défini seul (4.0.9).
  • Cookies de session réactifs : en 4.0.9, les cookies de session n'ont pas d'attribut SameSite quand server.reactive.session.cookie.same-site n'est pas défini.
  • Connexions : mot de passe contenant un : dans spring.elasticsearch.uris (échec d'authentification), identifiants MongoDB avec espace ou caractères à encoder en URL (Docker Compose et application).
  • Docker Compose : RabbitMQ en SSL, et détection erronée de MARIADB_ALLOW_EMPTY_PASSWORD au lieu de MARIADB_ALLOW_EMPTY_ROOT_PASSWORD (4.0.9 et 4.1.2).
  • Mises à jour de dépendances en 4.0.9 : Hibernate 7.2.25.Final, Jackson Bom 3.1.7, Netty 4.2.19.Final, PostgreSQL 42.7.14, Liquibase 5.0.4, jOOQ 3.19.39, Lombok 1.18.48.
  • 4.1.2 ajoute TWENTY_SEVEN à l'enum JavaVersion et documente le support de Java 27.

Dans un projet : Mettez à jour vos branches 4.0.x et 4.1.x, en priorité si vous utilisez OAuth2 Resource Server avec un issuer-uri vide, Elasticsearch avec un mot de passe contenant :, ou des cookies de session réactifs.

Lire l'article

Spring Boot 4.2.0-RC1 : nouveautés et corrections en préversion

GitHub · spring-projects/spring-boot · 22/10/2026

En bref : Spring Boot 4.2.0-RC1 est une préversion qui ajoute des optimisations sur les jars imbriqués et l'auto-configuration, et corrige plusieurs bugs. Le texte ne liste que les titres des changements, sans détails d'API.

Ce qu'il faut retenir :

  • Nouvelle propriété pour activer le mode asynchrone de Caffeine (#51844).
  • Nouveau callback pour personnaliser le Server de Tomcat (#50259).
  • Docker Compose : support de RABBITMQ_DEFAULT_VHOST pour RabbitMQ, et mots de passe root aléatoires pour MariaDB et MySQL (#51940, #51938).
  • Le « properties migrator » peut désormais faire échouer le démarrage de l'application (#51855).
  • Mises à jour majeures : Spring Framework 7.1.0-RC1, Spring Data BOM 2026.1.0-RC1, Spring Batch 6.1.0-RC1, Spring AMQP 4.2.0-RC1, Hibernate 7.4.13.Final, Kafka 4.4.0.
  • Corrections notables : perte de logs quand un contexte est mis en pause par le Test Context Framework, et JWT rejetés avec un issuer-uri vide.

Dans un projet : Testez cette RC sur une branche dédiée si vous préparez la migration vers Spring Boot 4.2, en vérifiant surtout la configuration Docker Compose et les tests utilisant le contexte de test en pause.

Lire l'article

Spring Framework 7.1.0-RC1 : suppressions d'API et gestion des problem details

GitHub · spring-projects/spring-framework · 22/10/2026

En bref : Spring Framework 7.1.0-RC1 supprime les API marquées comme dépréciées pour suppression et harmonise la gestion du timeout à 0 dans plusieurs composants. La version élargit aussi la prise en charge des problem details (RFC 9457) dans MVC.

Ce qu'il faut retenir :

  • Section « Attention Required » : suppression des API dépréciées pour suppression en 7.1 (#37455).
  • Un timeout à 0 est désormais traité comme « pas de timeout » dans WebTestClient, MockMvc, RSocketServiceProxyFactory, les clients HTTP et AsyncServerResponse.
  • MatchableHandlerMapping est supprimé (#37093).
  • Problem details : la configuration du rendu passe par WebMvcConfigurer (#37416), les exceptions non gérées par @ExceptionHandler sont rendues en problem details (#37398), et @ExceptionHandler peut produire des vues de problem details (#37400).
  • JDBC : nouveau DSL basé sur des entrées pour les batchs JdbcClient (#37341) ; la variante batchUpdate multi-batch de JdbcTemplate est dépréciée (#37345).
  • Tests : support de JsonUnit comme alternative à JSONassert (#37490).
  • JPA 4.0 : découverte des packages et descripteurs de modules (#37316) et adaptation au SPI BeanContainer d'Hibernate 8.0 (#37381).
  • La version 7.0.10 corrige notamment OpenInView avec HibernateTransactionManager (#37273) et des fuites de connexion dans MySQLMaxValueIncrementer (#37321).

Dans un projet : Vérifiez que vous n'utilisez plus d'API dépréciées avant de passer à 7.1, et surveillez la gestion du timeout 0 si vous configurez des clients HTTP ou MockMvc. Pour une API REST MVC, la configuration des problem details gagne à être centralisée dans WebMvcConfigurer.

Lire l'article

Spring Security 7.2.0-RC1 et correctifs 7.1.2 / 7.0.8

GitHub · spring-projects/spring-security · 22/10/2026

En bref : Spring Security 7.2.0-RC1 ajoute la prise en charge des politiques de sécurité de contenu (CSP) basées sur un nonce, et les branches 7.1.2 et 7.0.8 corrigent plusieurs bugs, dont des problèmes de partage de contexte entre threads. Le texte ne mentionne aucun CVE.

Ce qu'il faut retenir :

  • Nouveauté 7.2.0-RC1 : support de la Content Security Policy basée sur un nonce.
  • 7.2.0-RC1 : page d'enregistrement WebAuthn améliorée sans JavaScript, et Content-Type application/x-www-form-urlencoded correct dans OpaqueTokenIntrospector.
  • 7.1.2 : comparaison de TokenType par référence corrigée dans BearerTokenAuthentication, et correction d'une NPE avec authenticationValidator dans OAuth2AuthorizationCodeRequestValidatingFilter.
  • 7.1.2 : en mode réactif, l'ID de session WebSession ne doit plus changer après un refresh de token.
  • 7.0.8 : SecurityContextHolderThreadLocalAccessor ne doit plus partager l'instance de SecurityContext entre threads ; correction d'une race condition dans HeaderWriterFilter pendant les requêtes asynchrones.
  • 7.0.8 : AuthenticatorTransport#values inclut désormais SMART_CARD.

Dans un projet : Mettez à jour vers 7.0.8 ou 7.1.2 selon votre branche, surtout si vous utilisez OAuth2 avec des BearerTokenAuthentication ou des requêtes asynchrones. Le texte ne donne pas de CVE, donc vérifiez les avis de sécurité officiels avant de qualifier ces corrections de failles.

Lire l'article

This Week in Spring (27 octobre 2026) : Spring AI, Modulith, Data et Cloud

Spring Blog · 27/10/2026

En bref : La newsletter annonce plusieurs versions : Spring AI 2.1.0-RC1 et 2.0.2, Spring Modulith 2.2 RC1, Spring Data 2026.0.2, Spring Cloud 2026.0.0-RC1. Elle ne détaille pas les changements, seulement les titres des annonces.

Ce qu'il faut retenir :

  • Spring AI 2.1.0-RC1 et 2.0.2 disponibles, avec une série d'articles de Craig Walls sur l'accélération du RAG avec des embeddings plus rapides.
  • Spring Modulith 2.2 RC1, ainsi que les versions 2.1.2, 2.0.9 et 1.4.14 publiées le 23 octobre.
  • Spring Data 2026.0.2 et 2025.1.8 publiées.
  • Spring Cloud 2026.0.0-RC1 (nom de code Paddington) et 2025.1.4 (Northfields) publiées.

Dans un projet : Pour Spring AI et Modulith, lisez les notes de version complètes avant de mettre à jour, car la newsletter ne donne pas de détails. Pour Spring Data, vérifiez la compatibilité de la BOM si votre projet épingle explicitement les versions.

Lire l'article

Veille préparée automatiquement par Claude à partir de 13 articles de la semaine.