ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-41717

Spring Data MongoDB

Spring Data MongoDB - SpEL Expression Injection via Annotated Query Parameter Binding

CVSS 3.1
8.1بالا

شرح رسمی (انگلیسی)

Spring Data MongoDB contains a SpEL (Spring Expression Language) expression injection vulnerability. The issue occurs during parameter binding when a user-defined repository query method is annotated with @Query and utilizes a capture-all placeholder. Affected versions: Spring Data MongoDB 5.0.0 through 5.0.5; 4.5.0 through 4.5.11; 4.4.0 through 4.4.14; 4.3.0 through 4.3.16; 4.2.0 through 4.2.15; 4.1.0 through 4.1.14; 4.0.0 through 4.0.15; 3.4.0 through 3.4.19.

امتیازهای CVSS

امتیازنسخهمنبعبردار
8.1بالا 3.1 CVEProject cvelistV5 (CNA) (vmware) CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
Spring Spring Data MongoDB 3.4.0 ≤ v < 3.4.20 CVEProject cvelistV5 (CNA)
Spring Spring Data MongoDB 4.0.0 ≤ v < 4.0.16 CVEProject cvelistV5 (CNA)
Spring Spring Data MongoDB 4.1.0 ≤ v < 4.1.15 CVEProject cvelistV5 (CNA)
Spring Spring Data MongoDB 4.2.0 ≤ v < 4.2.16 CVEProject cvelistV5 (CNA)
Spring Spring Data MongoDB 4.3.0 ≤ v < 4.3.17 CVEProject cvelistV5 (CNA)
Spring Spring Data MongoDB 4.4.0 ≤ v < 4.4.15 CVEProject cvelistV5 (CNA)
Spring Spring Data MongoDB 4.5.0 ≤ v < 4.5.11.1 CVEProject cvelistV5 (CNA)
Spring Spring Data MongoDB 5.0.0 ≤ v < 5.0.5.1 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۱
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۳/۲۰
آخرین به‌روزرسانی
۱۴۰۵/۰۴/۱۰
وضعیت
منتشرشده
صادرکننده (CNA)
vmware

پیش‌بینی بهره‌برداری (EPSS)

۰٫۳۲٪
احتمال بهره‌برداری در ۳۰ روز
۲۶٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
خیر
وضعیت بهره‌برداری
ندارد
اثر فنی
کامل

ضعف‌ها (CWE)

  • CWE-917
    Improper Neutralization of Special Elements used in an Expression Language Statement (Expression Language Injection)