CVE-2026-59307
WysokieCVSS 8.0Streszczenie
W Spring Integration, operator wywołujący JdbcMessageStore.addAllowedPatterns(...) w celu ograniczenia deserializacji nie otrzymuje żadnej ochrony, gdy magazyn jest zarządzany przez Springa. Dotyczy to wersji 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10 oraz 6.4.0-6.4.12.
Ocena ryzyka
Ryzyko polega na tym, że ograniczenia deserializacji nie są egzekwowane, co może umożliwić atakującemu wykonanie niebezpiecznych operacji deserializacji, prowadzących do zdalnego wykonania kodu.
Rekomendacja
Zaleca się aktualizację Spring Integration do wersji z poprawką lub ręczne egzekwowanie ograniczeń deserializacji poza JdbcMessageStore.
Oryginalny opis (angielski, źródło NVD)
An operator who calls JdbcMessageStore.addAllowedPatterns(...) to restrict deserialization receives no protection at all when the store is a Spring-managed bean. Spring Integration 7.1.0 Spring Integration 7.0.0 - 7.0.5 Spring Integration 6.5.0 - 6.5.10 Spring Integration 6.4.0 - 6.4.12