CVE-2026-40998
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność CVE-2026-40998 dotyczy komponentu Jaxp13XPathTemplate, który ocenia wyrażenia XPath dla wejść StreamSource i SAXSource, wykorzystując domyślne zachowanie DocumentBuilderFactory JDK. To może prowadzić do ataków typu XML External Entity (XXE) w aplikacjach przetwarzających niezaufane dane XML.
Ocena ryzyka
Organizacje mogą być narażone na ataki XXE, co może prowadzić do ujawnienia danych lub wykonania nieautoryzowanego kodu. W szczególności aplikacje, które oceniają XPath na niezaufanych ładunkach XML, są w największym niebezpieczeństwie.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Spring Web Services, aby skorzystać z poprawionej konfiguracji parsera. Dodatkowo, należy unikać przetwarzania niezaufanych danych XML bez odpowiednich zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
Jaxp13XPathTemplate evaluated XPath expressions for StreamSource and SAXSource inputs using a code path that parsed attacker-controlled XML with the JDK's default DocumentBuilderFactory behavior instead of Spring's hardened parser configuration. Applications that evaluate XPath against untrusted XML payloads could therefore be exposed to XML External Entity (XXE) style attacks. Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.