CVE-2026-41732
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność w komponencie JsonPulsarHeaderMapper umożliwia pominięcie kontroli zaufanych pakietów poprzez sprawdzanie prefiksu, co powoduje, że zaufanie do jednego pakietu automatycznie obejmuje wszystkie jego podpakiety. Dodatkowo, pusta konfiguracja zaufanych pakietów powoduje domyślne zaufanie do wszystkich pakietów zamiast zastosowania bezpiecznej listy dozwolonych.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do danych lub wykonanie niebezpiecznych operacji poprzez wstrzyknięcie złośliwych typów wiadomości, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować Spring for Apache Pulsar do wersji 2.0.6 lub nowszej (dla linii 2.0.x) oraz odpowiednio do wersji 1.2.18 lub 1.1.18 (dla starszych linii). Po aktualizacji skonfigurować jawnie listę zaufanych pakietów.
Oryginalny opis (angielski, źródło NVD)
JsonPulsarHeaderMapper matched type headers against trusted packages using a prefix check, meaning that trusting any package implicitly trusted all of its subpackages. Additionally, an empty trusted-packages configuration fell back to trusting all packages rather than applying a safe default allow-list. Affected versions: Spring for Apache Pulsar 2.0.0 through 2.0.5; 1.2.0 through 1.2.17; 1.1.0 through 1.1.17.