Podatności Spring Data REST

Spring Data REST w wersjach 5.1.0, 5.0.0-5.0.6, 4.5.0-4.5.12, 4.0.0-4.4.15 oraz 3.7.20 i starszych nie chroni właściwości identyfikatora (@Id) i wersji (@Version) przed modyfikacją przez żądania RFC 6902 JSON Patch (application/json-patch+json).

Spring Data REST nie zachowuje utrwalonej właściwości wersji (@Version) agregatu głównego podczas obsługi żądania HTTP PUT dla niezmiennego typu docelowego. Dotyczy Spring Data REST 5.1.0, 5.0.0-5.0.6, 4.5.0-4.5.12, 4.0.0-4.4.15 oraz 3.7.20 i wcześniejszych.

Spring Data REST z integracją Querydsl akceptuje dowolne ścieżki właściwości jako klucze filtrów w parametrach żądania i nie uwzględnia konfiguracji Jacksona przed przekazaniem ich do Querydsl. Dotyczy wersji 3.7.0-3.7.19, 4.3.0-4.3.16, 4.4.0-4.4.14, 4.5.0-4.5.11, 5.0.0-5.0.5.

Podatność w Spring Data REST, gdzie serializowany jest pełny łańcuch przyczyn wyjątków do odpowiedzi HTTP z błędem, co może ujawnić wewnętrzne szczegóły warstwy trwałości klientom HTTP. Dotyczy wersji 3.7.0-3.7.19, 4.3.0-4.3.16, 4.4.0-4.4.14, 4.5.0-4.5.11, 5.0.0-5.0.5.

Podatność w Spring Data REST polegająca na wstrzykiwaniu wyrażeń SpEL przez właściwości typu mapa podczas przetwarzania żądań JSON Patch. Segment ścieżki JSON Pointer używany jako klucz mapy jest osadzany w wyrażeniu SpEL bez sanityzacji. Dotyczy wersji 3.7.0-3.7.19, 4.3.0-4.3.16, 4.4.0-4.4.14, 4.5.0-4.5.11, 5.0.0-5.0.5.

Implementacja JSON Patch w Spring Data REST nie stosuje filtru dostępu do zapisu do pośrednich segmentów ścieżki podczas rozwiązywania wielosegmentowego wskaźnika JSON. Luka występuje w wersjach od 3.7.0 do 3.7.19, 4.3.0 do 4.3.16, 4.4.0 do 4.4.14, 4.5.0 do 4.5.11 oraz 5.0.0 do 5.0.5.