CVE-2026-59315
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Spring Cloud Config Monitor jest podatny na ataki typu Denial of Service poprzez złośliwe ładunki. Podatność dotyczy Spring Cloud Config w wersjach 5.0.0-5.0.4, 4.3.0-4.3.4, 4.0.0-4.2.8 oraz 3.1.14 i wcześniejszych.
Ocena ryzyka
Atakujący może wysłać złośliwe żądania, które przeciążą serwer, powodując niedostępność usług konfiguracyjnych. Może to zakłócić działanie wszystkich aplikacji korzystających z konfiguracji.
Rekomendacja
Zaleca się aktualizację Spring Cloud Config do najnowszej wersji z poprawką. Należy również ograniczyć dostęp do monitora konfiguracji i wdrożyć mechanizmy ochrony przed przeciążeniem.
Inne podatności w Spring Cloud Config
Zobacz wszystkie- CVE-2026-40982Krytyczne
Podatność w Spring Cloud Config umożliwia atak typu directory traversal poprzez specjalnie spreparowane żądanie URL. Dotyczy to modułu spring-cloud-config-server, który pozwala na serwowanie plików tekstowych i binarnych.
- CVE-2020-5410WysokieAktywnie exploitowane
Spring Cloud Config w wersjach 2.2.x przed 2.2.3, 2.1.x przed 2.1.9 oraz starszych nieobsługiwanych wersjach pozwala aplikacjom na udostępnianie dowolnych plików konfiguracyjnych poprzez moduł spring-cloud-config-server. Złośliwy użytkownik lub atakujący może wysłać żądanie z specjalnie spreparowanym URL-em, co może prowadzić do ataku typu directory traversal.
- CVE-2026-47894Średnie
Spring Cloud Config Server natywne repozytorium środowiska umożliwia ujawnienie plików konfiguracyjnych poza skonfigurowaną ścieżką repozytorium. Podatność dotyczy Spring Cloud Config w wersjach 5.0.0-5.0.4, 4.3.0-4.3.4, 4.0.0-4.2.8 oraz 3.1.14 i wcześniejszych.
- CVE-2026-47837Średnie
Brak uwierzytelnienia dla krytycznej funkcji w Spring Cloud Config pozwala na niezweryfikowane żądania Webhook do punktu końcowego /monitor. Dotyczy to wersji od 5.0.0 do 5.0.4, od 4.3.0 do 4.3.4, od 4.0.0 do 4.2.8 oraz do 3.1.14.
- CVE-2026-47836Wysokie
Katalog bazowy (spring.cloud.config.server.svn.basedir) używany przez Spring Cloud Config Server do klonowania repozytoriów SVN jest podatny na ataki typu time-of-check-time-of-use (TOCTOU). Podatność dotyczy Spring Cloud Config 5.0.0-5.0.4, 4.3.0-4.3.4, 4.0.0-4.2.8 oraz 3.1.14 i wcześniejszych.
- CVE-2026-40981Wysokie
Podatność w Spring Cloud Config umożliwia klientowi wysłanie spreparowanego żądania do serwera konfiguracji, co może prowadzić do ujawnienia sekretów z niezamierzonych projektów GCP, gdy używany jest Google Secrets Manager jako backend.
Oryginalny opis (angielski, źródło NVD)
The Spring Cloud Config Monitor is susceptible to Denial of Service attacks via malicious payloads. Spring Cloud Config 5.0.0 - 5.0.4 Spring Cloud Config 4.3.0 - 4.3.4 Spring Cloud Config 4.0.0 - 4.2.8 Spring Cloud Config 3.1.14 and earlier
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS