CVE-2026-41007

WysokieCVSS 7.5

Opublikowano: 09/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Spring HATEOAS utrzymuje nieograniczoną statyczną pamięć podręczną instancji StringLinkRelation, indeksowaną przez ciągi znaków dostarczone przez atakującego. Dotyczy to wersji 1.5.0–1.5.6, 2.3.0–2.3.4, 2.4.0–2.4.1, 2.5.0–2.5.2 oraz 3.0.0–3.0.3.

Ocena ryzyka

Atakujący może przeciążyć pamięć podręczną, co prowadzi do wyczerpania zasobów (DoS) lub potencjalnie do wycieku informacji poprzez manipulację kluczami.

Rekomendacja

Zaktualizuj Spring HATEOAS do wersji 3.0.4 lub nowszej (lub odpowiedniej łatki dla starszych linii) i rozważ ograniczenie rozmiaru pamięci podręcznej.

Inne podatności w Spring HATEOAS

CVE-2026-41006Wysokie
Spring HATEOAS zawiera lukę w metodzie PropertyUtils.createObjectFromProperties, używaną przez deserializatory Collection+JSON i UBER, która wykonuje wiązanie właściwości beana przez refleksję bez uwzględniania adnotacji kontroli dostępu Jacksona. Dotyczy to wersji 1.5.0-1.5.6, 2.3.0-2.3.4, 2.4.0-2.4.1, 2.5.0-2.5.2 oraz 3.0.0-3.0.3.

Oryginalny opis (angielski, źródło NVD)

Spring HATEOAS maintains an unbounded static cache of StringLinkRelation instances keyed on attacker-supplied strings. Affected versions: Spring HATEOAS 1.5.0 through 1.5.6; 2.3.0 through 2.3.4; 2.4.0 through 2.4.1; 2.5.0 through 2.5.2; 3.0.0 through 3.0.3.