CVE-2026-41852
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność w logice ewaluacji Spring Expression Language (SpEL) umożliwia wywoływanie dowolnych metod bezargumentowych, nawet w ograniczonych kontekstach, co może pozwolić atakującemu na wywołanie niezamierzonej logiki aplikacji.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania nieautoryzowanych operacji przez atakującego, co może prowadzić do naruszenia integralności danych lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację Spring Framework do wersji 7.0.8, 6.2.19, 6.1.28 lub 5.3.49 (w zależności od używanej gałęzi) oraz ograniczenie używania SpEL w kontekstach zaufanych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in Spring Expression Language (SpEL) evaluation logic allows for arbitrary zero-argument method invocation, even within restricted or read-only contexts, which may allow an attacker to invoke unintended application logic. Affected versions: Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.