CVE-2026-59321
ŚrednieCVSS 4.2Streszczenie
Pojedyncza instancja ScriptEngine jest ponownie używana dla każdej wiadomości na kanale opartym na skryptach. Dla silników JSR-223, które zgłaszają THREADING=null (nie są bezpieczne dla wątków, np. silnik Kotlin kts), równoczesne przetwarzanie wiadomości może uszkodzić stan wewnętrzny silnika, potencjalnie wyciekając powiązania payloadu/nagłówków jednej wiadomości do oceny skryptu innej wiadomości lub powodując nieoczekiwane wyjątki. Podatność dotyczy Spring Integration w wersjach 7.1.0, 7.0.0-7.0.5, 6.5.0-6.5.10, 6.4.0-6.4.12 oraz 5.5.21 i wcześniejszych.
Ocena ryzyka
Ryzyko obejmuje potencjalny wyciek danych między wiadomościami, co może prowadzić do ujawnienia poufnych informacji lub błędów przetwarzania. Może to zakłócić działanie aplikacji i naruszyć integralność danych.
Rekomendacja
Zaleca się aktualizację Spring Integration do wersji z poprawką. Jeśli to możliwe, należy unikać używania silników skryptowych, które nie są bezpieczne dla wątków, lub zapewnić synchronizację dostępu do nich.
Oryginalny opis (angielski, źródło NVD)
A single ScriptEngine instance is reused for every message on a script-backed channel. For JSR-223 engines that report THREADING=null (not thread-safe, e.g. the Kotlin kts engine), concurrent message processing can corrupt engine-internal state, potentially leaking one message's payload/headers bindings into another message's script evaluation or throwing spurious exceptions. Spring Integration 7.1.0 Spring Integration 7.0.0 - 7.0.5 Spring Integration 6.5.0 - 6.5.10 Spring Integration 6.4.0 - 6.4.12 Spring Integration 5.5.21 and earlier