CVE-2026-41696

ŚrednieCVSS 5.9

Opublikowano: 10/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Spring Data MongoDB nieprawidłowo waliduje parametry wyrażeń regularnych w metodach zapytań z adnotacją @Query. Atakujący może dostarczyć spreparowany ciąg znaków, aby ominąć zamierzone cytowanie wyrażenia regularnego.

Ocena ryzyka

Ryzyko polega na możliwości wykonania nieautoryzowanych zapytań do bazy danych MongoDB, co może prowadzić do wycieku lub modyfikacji danych.

Rekomendacja

Zaleca się natychmiastową aktualizację Spring Data MongoDB do wersji 5.0.6, 4.5.12, 4.4.15, 4.3.17, 4.2.16, 4.1.15, 4.0.16 lub 3.4.20 w zależności od używanej gałęzi.

Inne podatności w Spring Data MongoDB

CVE-2026-41717Wysokie
Podatność wstrzykiwania wyrażeń SpEL w Spring Data MongoDB. Problem występuje podczas wiązania parametrów w metodach repozytorium z adnotacją @Query używającą symbolu wieloznacznego.

Oryginalny opis (angielski, źródło NVD)

Spring Data MongoDB repository query methods annotated with @Query that use regex parameter binding perform insufficient validation of the bound parameter. An attacker can supply a crafted string to break out of the intended regular expression quoting. Affected versions: Spring Data MongoDB 5.0.0 through 5.0.5; 4.5.0 through 4.5.11; 4.4.0 through 4.4.14; 4.3.0 through 4.3.16; 4.2.0 through 4.2.15; 4.1.0 through 4.1.14; 4.0.0 through 4.0.15; 3.4.0 through 3.4.19.