CVE-2026-41848
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Aplikacje używające AntPathMatcher z Spring Framework mogą być podatne na atak typu ReDoS (Regular Expression Denial of Service), jeśli atakujący może dostarczyć wzorzec do metod match(), matchStart() lub extractUriTemplateVariables(). Dotyczy to Spring Framework 7.0.0-7.0.7, 6.2.0-6.2.18, 6.1.0-6.1.27 oraz 5.3.0-5.3.48.
Ocena ryzyka
Organizacja może doświadczyć odmowy usługi (DoS) w aplikacjach Spring, jeśli atakujący może dostarczyć złośliwy wzorzec regex, co może prowadzić do przeciążenia serwera.
Rekomendacja
Zaleca się aktualizację Spring Framework do wersji 7.0.8, 6.2.19, 6.1.28 lub 5.3.49 (lub nowszych). Należy również ograniczyć możliwość dostarczania wzorców regex przez niezaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Applications may be vulnerable to a Regular Expression Denial of Service (ReDoS) attack if an attacker is able to provide a pattern which is then directly or indirectly supplied to one of the following methods in AntPathMatcher: match(String pattern, String path), matchStart(String pattern, String path), extractUriTemplateVariables(String pattern, String path). Affected versions: Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.