CVE-2026-41006

WysokieCVSS 7.5

Opublikowano: 09/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Spring HATEOAS zawiera lukę w metodzie PropertyUtils.createObjectFromProperties, używaną przez deserializatory Collection+JSON i UBER, która wykonuje wiązanie właściwości beana przez refleksję bez uwzględniania adnotacji kontroli dostępu Jacksona. Dotyczy to wersji 1.5.0-1.5.6, 2.3.0-2.3.4, 2.4.0-2.4.1, 2.5.0-2.5.2 oraz 3.0.0-3.0.3.

Ocena ryzyka

Luka może umożliwić zdalnemu atakującemu manipulację obiektami beana, co może prowadzić do nieautoryzowanego dostępu lub wykonania kodu.

Rekomendacja

Zaleca się aktualizację Spring HATEOAS do wersji zawierającej poprawkę (np. 1.5.7, 2.3.5, 2.4.2, 2.5.3, 3.0.4 lub nowsze).

Inne podatności w Spring HATEOAS

CVE-2026-41007Wysokie
Spring HATEOAS utrzymuje nieograniczoną statyczną pamięć podręczną instancji StringLinkRelation, indeksowaną przez ciągi znaków dostarczone przez atakującego. Dotyczy to wersji 1.5.0–1.5.6, 2.3.0–2.3.4, 2.4.0–2.4.1, 2.5.0–2.5.2 oraz 3.0.0–3.0.3.

Oryginalny opis (angielski, źródło NVD)

Spring HATEOAS's internal PropertyUtils.createObjectFromProperties method, used by the Collection+JSON and UBER media type deserializers, performs bean property binding via reflection without consulting Jackson access-control annotations. Affected versions: Spring HATEOAS 1.5.0 through 1.5.6; 2.3.0 through 2.3.4; 2.4.0 through 2.4.1; 2.5.0 through 2.5.2; 3.0.0 through 3.0.3.