CVE-2026-41716
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w Spring Data Commons powoduje, że wewnętrzna pamięć podręczna właściwości akceptuje i trwale przechowuje ciągi znaków dostarczone przez atakującego jako klucze, co prowadzi do wyczerpania sterty przez powtarzane żądania.
Ocena ryzyka
Atakujący może spowodować wyczerpanie pamięci sterty, co prowadzi do odmowy usługi (DOS) i uniemożliwia działanie aplikacji.
Rekomendacja
Zaktualizuj Spring Data Commons do wersji 2.7.20, 3.3.17, 3.4.15, 3.5.12 lub 4.0.6 (w zależności od gałęzi). Ogranicz możliwość przekazywania długich ciągów znaków.
Inne podatności w Spring Data Commons
Zobacz wszystkie- CVE-2026-41721Średnie
Spring Data Commons zawiera podatność prowadzącą do odmowy usługi (DoS) gdy włączone jest Spring Data Web Support wraz z metodą kontrolera używającą @ProjectedPayload. Atakujący może wysłać spreparowane żądanie HTTP powodujące nadmierne przydzielenie pamięci.
- CVE-2026-41711Średnie
Aplikacje używające Spring Data Commons mogą być podatne na atak DoS prowadzący do StackOverflowException podczas parsowania parametrów Sort. Podatność dotyczy wielu wersji Spring Data Commons od 2.7.0 do 4.0.5.
- CVE-2026-41695Wysokie
Podatność w Spring Data Commons pozwala na odmowę usługi przez wyczerpanie zasobów, gdy atakujący kontroluje ciągi ścieżek właściwości przekazywane do rozpoznawania ścieżek w MappingContext.
Oryginalny opis (angielski, źródło NVD)
Spring Data's internal property-lookup cache accepts and permanently retains attacker-supplied strings as cache keys, allowing heap exhaustion through repeated requests. Affected versions: Spring Data Commons 2.7.0 through 2.7.19; 3.3.0 through 3.3.16; 3.4.0 through 3.4.14; 3.5.0 through 3.5.11; 4.0.0 through 4.0.5.