CVE-2026-41856
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Mechanizm wykrywania adnotacji Spring GraphQL dla metod pobierania danych w kontrolerach może nieprawidłowo rozpoznawać adnotacje w hierarchiach typów. Może to prowadzić do pomijania adnotacji bezpieczeństwa w czasie wykonania, jeśli są one używane do decyzji autoryzacyjnych.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może ominąć mechanizmy autoryzacji oparte na adnotacjach, uzyskując nieuprawniony dostęp do danych lub funkcji.
Rekomendacja
Zaleca się natychmiastową aktualizację Spring for GraphQL do wersji 2.0.4, 1.4.6, 1.3.9 lub 1.0.7, w zależności od używanej gałęzi.
Oryginalny opis (angielski, źródło NVD)
The Spring GraphQL annotation detection mechanism for @Controller data fetchers may not correctly resolve annotations on methods within type hierarchies. This can be an issue if such annotations are used for authorization decisions. When all conditions are met, security annotations can be ignored at runtime. Affected versions: Spring for GraphQL 2.0.0 through 2.0.3; 1.4.0 through 1.4.5; 1.3.0 through 1.3.8; 1.0.0 through 1.0.6.