CVE-2026-41004

ŚrednieCVSS 4.4

Opublikowano: 07/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Po włączeniu logowania trace w Spring Cloud Config Server poufne informacje były zapisywane w logach w postaci jawnej. Podatność dotyczy gałęzi 3.1.x, 4.1.x, 4.2.x, 4.3.x i 5.0.x w określonych zakresach wersji.

Ocena ryzyka

Wrażliwe dane (np. hasła, sekrety) mogą wyciec do logów, do których dostęp mają osoby nieuprawnione lub systemy zbierające logi, co może doprowadzić do kompromitacji środowiska.

Rekomendacja

Zaktualizuj Spring Cloud Config do wersji 3.1.14, 4.1.10, 4.2.7, 4.3.3 lub 5.0.3 (lub nowszej) odpowiednio dla używanej gałęzi; część poprawek dostępna jest wyłącznie w ramach Enterprise Support.

Inne podatności w Spring Cloud Config Server

CVE-2026-41002Wysokie
Serwer konfiguracji Spring Cloud jest podatny na ataki typu time-of-check-time-of-use (TOCTOU) z powodu użycia katalogu bazowego do klonowania repozytoriów Git.

Oryginalny opis (angielski, źródło NVD)

When enabling trace logging in Spring Cloud Config Server sensitive information was placed in plain text in the logs. Spring Cloud Config 3.1.x: affected from 3.1.0 through 3.1.13 (inclusive); upgrade to 3.1.14 or greater (Enterprise Support Only). Spring Cloud Config 4.1.x: affected from 4.1.0 through 4.1.9 (inclusive); upgrade to 4.1.10 or greater (Enterprise Support Only). Spring Cloud Config 4.2.x: affected from 4.2.0 through 4.2.6 (inclusive); upgrade to 4.2.7 or greater (Enterprise Support Only). Spring Cloud Config 4.3.x: affected from 4.3.0 through 4.3.2 (inclusive); upgrade to 4.3.3 or greater. Spring Cloud Config 5.0.x: affected from 5.0.0 through 5.0.2 (inclusive); upgrade to 5.0.3 or greater.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS