CVE-2026-41856
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w Spring GraphQL powoduje, że mechanizm wykrywania adnotacji @Controller może nieprawidłowo rozpoznawać adnotacje w hierarchiach typów. Może to prowadzić do ignorowania adnotacji bezpieczeństwa w czasie wykonania.
Ocena ryzyka
Ryzyko pominięcia kontroli autoryzacji, co może umożliwić nieautoryzowany dostęp do danych lub funkcji.
Rekomendacja
Zaktualizuj Spring for GraphQL do wersji 2.0.4, 1.4.6, 1.3.9 lub 1.0.7 (w zależności od używanej gałęzi).
Inne podatności w Spring for GraphQL
Zobacz wszystkie- CVE-2026-59289Niskie ryzyko· EPSS 5%
Wsparcie paginacji Spring Data w Spring for GraphQL rozwiązuje argumenty zapytania przewijanego i przekazuje wartości dostarczone przez klienta do bazowego repozytorium. Atakujący może sfałszować złośliwe zapytanie dla pola Connection, co może wyczerpać pamięć aplikacji lub spowodować znaczące, długotrwałe obciążenie bazowego magazynu danych, prowadząc do Denial of Service. Dotyczy Spring for GraphQL w wersjach 2.0.0-2.0.4, 1.4.0-1.4.6 oraz 1.2.0-1.3.9.
- CVE-2026-59288Niskie ryzyko· EPSS 4%
Strona GraphiQL dołączona do Spring for GraphQL wysyła żądania do punktów końcowych GraphQL aplikacji. Atakujący może udostępnić złośliwy URL, aby przeglądarka ofiary mogła wyciec poufne informacje na stronę atakującego. Dotyczy Spring for GraphQL w wersjach 2.0.0-2.0.4, 1.4.0-1.4.6, 1.1.0-1.3.9 oraz 1.0.0-1.0.7.
- CVE-2026-59287Niskie ryzyko· EPSS 4%
Spring for GraphQL jest podatny na ataki Denial of Service podczas korzystania z klienta WebSocket z włączoną opcją keepAlive. Dotyczy Spring for GraphQL w wersjach 2.0.0-2.0.4, 1.4.0-1.4.6 oraz 1.3.0-1.3.9.
- CVE-2026-59286Niskie ryzyko· EPSS 2%
Strona GraphiQL dołączona do Spring for GraphQL ładuje biblioteki JavaScript z publicznego CDN bez kontroli integralności podzasobów (Subresource Integrity). Atakujący może wstrzyknąć złośliwy kod do tych skryptów i wykonać dowolny kod w przeglądarce ładującej stronę GraphiQL. Dotyczy Spring for GraphQL w wersjach 2.0.0-2.0.4, 1.4.0-1.4.6, 1.1.0-1.3.9 oraz 1.0.0-1.0.7.
- CVE-2026-59285Niskie ryzyko· EPSS 36%
Aplikacje Spring for GraphQL są podatne na niebezpieczną deserializację podczas przetwarzania paginowanych zapytań GraphQL. Dotyczy wersji 2.0.0 - 2.0.4.
- CVE-2026-41700Wysokie
Podatność Cross-Site WebSocket Hijacking w Spring for GraphQL z włączonym transportem WebSocket. Atakujący może nakłonić uwierzytelnionego użytkownika do odwiedzenia złośliwej strony, co pozwala na wykonanie dowolnych operacji GraphQL w kontekście ofiary.
- CVE-2026-41699Wysokie
Spring for GraphQL jest podatny na niebezpieczną deserializację podczas przetwarzania paginowanych zapytań GraphQL. Atakujący może wysłać spreparowane żądanie, które prowadzi do zdalnego wykonania kodu (RCE), jeśli aplikacja udostępnia pole typu Connection i w classpath znajdują się odpowiednie klasy.
Oryginalny opis (angielski, źródło NVD)
The Spring GraphQL annotation detection mechanism for @Controller data fetchers may not correctly resolve annotations on methods within type hierarchies. This can be an issue if such annotations are used for authorization decisions. When all conditions are met, security annotations can be ignored at runtime. Affected versions: Spring for GraphQL 2.0.0 through 2.0.3; 1.4.0 through 1.4.5; 1.3.0 through 1.3.8; 1.0.0 through 1.0.6.