CVE-2026-40977
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W Spring Boot, gdy aplikacja używa ApplicationPidFileWriter, lokalny atakujący z prawem zapisu do lokalizacji pliku PID może uszkodzić jeden plik na hoście przy każdym uruchomieniu aplikacji. Dotyczy to wersji 4.0.0-4.0.5, 3.5.0-3.5.13, 3.4.0-3.4.15, 3.3.0-3.3.18, 2.7.0-2.7.32.
Ocena ryzyka
Atakujący może celowo uszkodzić plik na hoście, co może prowadzić do utraty danych lub zakłócenia działania systemu.
Rekomendacja
Zaktualizuj Spring Boot do wersji 4.0.6, 3.5.14, 3.4.16, 3.3.19 lub 2.7.33 w zależności od używanej gałęzi.
Oryginalny opis (angielski, źródło NVD)
When an application is configured to use `ApplicationPidFileWriter`, a local attacker with write access to the PID file's location can corrupt one file on the host each time the application is started. Affected: Spring Boot 4.0.0–4.0.5 (fix 4.0.6), 3.5.0–3.5.13 (fix 3.5.14), 3.4.0–3.4.15 (fix 3.4.16), 3.3.0–3.3.18 (fix 3.3.19), 2.7.0–2.7.32 (fix 2.7.33); PID file / symlink behavior (`ApplicationPidFileWriter`). Versions that are no longer supported are also affected per vendor advisory.