CVE-2026-47850
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Spring Data REST nie zachowuje utrwalonej właściwości wersji (@Version) agregatu głównego podczas obsługi żądania HTTP PUT dla niezmiennego typu docelowego. Dotyczy Spring Data REST 5.1.0, 5.0.0-5.0.6, 4.5.0-4.5.12, 4.0.0-4.4.15 oraz 3.7.20 i wcześniejszych.
Ocena ryzyka
Może to prowadzić do niespójności danych i problemów z kontrolą wersji, co może skutkować nadpisywaniem zmian lub błędami w aplikacji.
Rekomendacja
Zaktualizuj Spring Data REST do wersji z poprawką. Upewnij się, że obsługa PUT dla typów niezmiennych jest odpowiednio skonfigurowana.
Inne podatności w Spring Data REST
Zobacz wszystkie- CVE-2026-47849Wysokie
Spring Data REST w wersjach 5.1.0, 5.0.0-5.0.6, 4.5.0-4.5.12, 4.0.0-4.4.15 oraz 3.7.20 i starszych nie chroni właściwości identyfikatora (@Id) i wersji (@Version) przed modyfikacją przez żądania RFC 6902 JSON Patch (application/json-patch+json).
- CVE-2026-41837Średnie
Spring Data REST z integracją Querydsl akceptuje dowolne ścieżki właściwości jako klucze filtrów w parametrach żądania i nie uwzględnia konfiguracji Jacksona przed przekazaniem ich do Querydsl. Dotyczy wersji 3.7.0-3.7.19, 4.3.0-4.3.16, 4.4.0-4.4.14, 4.5.0-4.5.11, 5.0.0-5.0.5.
- CVE-2026-41730Średnie
Podatność w Spring Data REST, gdzie serializowany jest pełny łańcuch przyczyn wyjątków do odpowiedzi HTTP z błędem, co może ujawnić wewnętrzne szczegóły warstwy trwałości klientom HTTP. Dotyczy wersji 3.7.0-3.7.19, 4.3.0-4.3.16, 4.4.0-4.4.14, 4.5.0-4.5.11, 5.0.0-5.0.5.
- CVE-2026-41729Wysokie
Podatność w Spring Data REST polegająca na wstrzykiwaniu wyrażeń SpEL przez właściwości typu mapa podczas przetwarzania żądań JSON Patch. Segment ścieżki JSON Pointer używany jako klucz mapy jest osadzany w wyrażeniu SpEL bez sanityzacji. Dotyczy wersji 3.7.0-3.7.19, 4.3.0-4.3.16, 4.4.0-4.4.14, 4.5.0-4.5.11, 5.0.0-5.0.5.
- CVE-2026-41728Wysokie
Implementacja JSON Patch w Spring Data REST nie stosuje filtru dostępu do zapisu do pośrednich segmentów ścieżki podczas rozwiązywania wielosegmentowego wskaźnika JSON. Luka występuje w wersjach od 3.7.0 do 3.7.19, 4.3.0 do 4.3.16, 4.4.0 do 4.4.14, 4.5.0 do 4.5.11 oraz 5.0.0 do 5.0.5.
Oryginalny opis (angielski, źródło NVD)
Spring Data REST does not preserve the persisted version (@Version) property of an aggregate root when handling an HTTP PUT against an immutable target type. Spring Data REST 5.1.0 Spring Data REST 5.0.0 - 5.0.6 Spring Data REST 4.5.0 - 4.5.12 Spring Data REST 4.0.0 - 4.4.15 Spring Data REST 3.7.20 and earlier