CVE-2026-41721
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Spring Data Commons zawiera podatność prowadzącą do odmowy usługi (DoS) gdy włączone jest Spring Data Web Support wraz z metodą kontrolera używającą @ProjectedPayload. Atakujący może wysłać spreparowane żądanie HTTP powodujące nadmierne przydzielenie pamięci.
Ocena ryzyka
Atak DoS może spowodować niedostępność aplikacji, co wpływa na ciągłość działania biznesu.
Rekomendacja
Zaktualizuj Spring Data Commons do wersji 4.0.6, 3.5.12, 3.4.15, 3.3.17, 3.2.16, 3.1.15, 3.0.16 lub 2.7.20 w zależności od używanej gałęzi.
Inne podatności w Spring Data Commons
Zobacz wszystkie- CVE-2026-41716Wysokie
Podatność w Spring Data Commons powoduje, że wewnętrzna pamięć podręczna właściwości akceptuje i trwale przechowuje ciągi znaków dostarczone przez atakującego jako klucze, co prowadzi do wyczerpania sterty przez powtarzane żądania.
- CVE-2026-41711Średnie
Aplikacje używające Spring Data Commons mogą być podatne na atak DoS prowadzący do StackOverflowException podczas parsowania parametrów Sort. Podatność dotyczy wielu wersji Spring Data Commons od 2.7.0 do 4.0.5.
- CVE-2026-41695Wysokie
Podatność w Spring Data Commons pozwala na odmowę usługi przez wyczerpanie zasobów, gdy atakujący kontroluje ciągi ścieżek właściwości przekazywane do rozpoznawania ścieżek w MappingContext.
Oryginalny opis (angielski, źródło NVD)
Spring Data Commons contains a vulnerability that can lead to a Denial of Service (DoS) condition if Spring Data Web Support is enabled in conjunction with a Controller method using @ProjectedPayload, when an attacker sends a specially crafted HTTP request that causes the application to allocate lots of memory. Affected versions: Spring Data Commons 4.0.0 through 4.0.5; 3.5.0 through 3.5.11; 3.4.0 through 3.4.14; 3.3.0 through 3.3.16; 3.2.0 through 3.2.15; 3.1.0 through 3.1.14; 3.0.0 through 3.0.15; 2.7.0 through 2.7.19.