CVE-2026-59296
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Używanie niezaufanych, nieznormalizowanych danych jako danych metryk (takich jak nazwy metryk, klucze tagów lub wartości tagów) jest niebezpiecznym antywzorcem, którego ogólna instrumentacja nie powinna nigdy wykonywać. Podatność dotyczy biblioteki Micrometer w wersjach 1.17.0, 1.16.0-1.16.6, 1.15.0-1.15.12, 1.14.0-1.14.16 oraz 1.9.18 i wcześniejszych.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe dane do systemów monitorowania, co może prowadzić do manipulacji metrykami, zatrucia danych lub ataków na systemy analityczne, co może zakłócić monitorowanie i podejmowanie decyzji.
Rekomendacja
Zaleca się aktualizację Micrometer do wersji, która zawiera poprawkę, oraz unikanie używania niezaufanych danych bez normalizacji w metrykach.
Inne podatności w Micrometer
Zobacz wszystkie- CVE-2026-59295Średnie
Wychodzące żądania HTTP przy użyciu klienta instrumentowanego przez Micrometer mogą powodować warunek DoS z powodu nieograniczonego wycieku pamięci. Podatne wersje to Micrometer 1.17.0, 1.16.0-1.16.6, 1.15.0-1.15.12, 1.14.0-1.14.16 oraz 1.9.18 i wcześniejsze.
- CVE-2026-40984Wysokie
Podatność w Micrometer umożliwia zdalną odmowę usługi (DoS) poprzez specjalnie spreparowane żądania HTTP. Dotyczy wielu wersji micrometer-core, micrometer-jetty11 i micrometer-jetty12.
- CVE-2026-40983Wysokie
W Micrometer istnieje możliwość, że użytkownik wyśle specjalnie spreparowane żądania gRPC, które mogą spowodować warunek odmowy usługi (DoS). Podatne są wersje 1.16.0 do 1.16.5 oraz 1.15.0 do 1.15.11.
Oryginalny opis (angielski, źródło NVD)
Using untrusted, non-normalized input as-is for metrics data (such as metric names, tag keys, or tag values) is a dangerous antipattern that general-purpose instrumentation should never perform. Micrometer 1.17.0 Micrometer 1.16.0 - 1.16.6 Micrometer 1.15.0 - 1.15.12 Micrometer 1.14.0 - 1.14.16 Micrometer 1.9.18 and earlier