CVE-2026-41002

WysokieCVSS 7.2

Opublikowano: 07/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Serwer konfiguracji Spring Cloud jest podatny na ataki typu time-of-check-time-of-use (TOCTOU) z powodu użycia katalogu bazowego do klonowania repozytoriów Git.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do manipulacji danymi w momencie, gdy są one sprawdzane i używane, co może prowadzić do nieautoryzowanego dostępu do konfiguracji aplikacji.

Rekomendacja

Zaleca się aktualizację do wersji 3.1.14 lub wyższej dla 3.1.x, 4.1.10 lub wyższej dla 4.1.x, 4.2.7 lub wyższej dla 4.2.x, 4.3.3 lub wyższej dla 4.3.x oraz 5.0.3 lub wyższej dla 5.0.x.

Inne podatności w Spring Cloud Config Server

CVE-2026-41004Średnie
Po włączeniu logowania trace w Spring Cloud Config Server poufne informacje były zapisywane w logach w postaci jawnej. Podatność dotyczy gałęzi 3.1.x, 4.1.x, 4.2.x, 4.3.x i 5.0.x w określonych zakresach wersji.

Oryginalny opis (angielski, źródło NVD)

The base directory (`spring.cloud.config.server.git.basedir`) used by the Spring Cloud Config Server to clone Git repositories to is susceptible to time-of-check-time-of-use (TOCTOU) attacks. Spring Cloud Config 3.1.x: affected from 3.1.0 through 3.1.13 (inclusive); upgrade to 3.1.14 or greater (Enterprise Support Only). Spring Cloud Config 4.1.x: affected from 4.1.0 through 4.1.9 (inclusive); upgrade to 4.1.10 or greater (Enterprise Support Only). Spring Cloud Config 4.2.x: affected from 4.2.0 through 4.2.6 (inclusive); upgrade to 4.2.7 or greater (Enterprise Support Only). Spring Cloud Config 4.3.x: affected from 4.3.0 through 4.3.2 (inclusive); upgrade to 4.3.3 or greater. Spring Cloud Config 5.0.x: affected from 5.0.0 through 5.0.2 (inclusive); upgrade to 5.0.3 or greater.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS