CVE-2026-41717

WysokieCVSS 8.1

Opublikowano: 10/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Podatność wstrzykiwania wyrażeń SpEL w Spring Data MongoDB. Problem występuje podczas wiązania parametrów w metodach repozytorium z adnotacją @Query używającą symbolu wieloznacznego.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe wyrażenie SpEL, co może prowadzić do zdalnego wykonania kodu na serwerze aplikacji.

Rekomendacja

Zaleca się aktualizację Spring Data MongoDB do wersji 5.0.6, 4.5.12, 4.4.15, 4.3.17, 4.2.16, 4.1.15, 4.0.16 lub 3.4.20 (lub nowszych).

Inne podatności w Spring Data MongoDB

CVE-2026-41696Średnie
Spring Data MongoDB nieprawidłowo waliduje parametry wyrażeń regularnych w metodach zapytań z adnotacją @Query. Atakujący może dostarczyć spreparowany ciąg znaków, aby ominąć zamierzone cytowanie wyrażenia regularnego.

Oryginalny opis (angielski, źródło NVD)

Spring Data MongoDB contains a SpEL (Spring Expression Language) expression injection vulnerability. The issue occurs during parameter binding when a user-defined repository query method is annotated with @Query and utilizes a capture-all placeholder. Affected versions: Spring Data MongoDB 5.0.0 through 5.0.5; 4.5.0 through 4.5.11; 4.4.0 through 4.4.14; 4.3.0 through 4.3.16; 4.2.0 through 4.2.15; 4.1.0 through 4.1.14; 4.0.0 through 4.0.15; 3.4.0 through 3.4.19.