CVE-2026-40998
Yüksək
Təsvir
Jaxp13XPathTemplate, StreamSource və SAXSource girişləri üçün XPath ifadələrini qiymətləndirərkən hücumçunun nəzarət etdiyi XML-i Spring-in sərtləşdirilmiş parser konfiqurasiyası əvəzinə JDK-nın standart DocumentBuilderFactory davranışı ilə parse edən kod yolundan istifadə edirdi. Buna görə etibarsız XML yüklərinə qarşı XPath qiymətləndirən tətbiqlər XML Xarici Obyekt (XXE) tipli hücumlara məruz qala bilərdi. Təsirlənmiş versiyalar: Spring Web Services 5.0.0 - 5.0.1; 4.1.0 - 4.1.3; 4.0.0 - 4.0.18; 3.1.0 - 3.1.8.
CiddilikYüksək
CVSS8.2
İstismar ehtimalı—
Məhsul
Broadcom Spring Web Services
Dərc11 iyn 2026
İlk görülmə11 iyn 2026
Zəiflik növüCWE-611XML xarici obyekt (XXE)
Necə düzəltmək olar
Yeniləyin
- broadcom spring_web_services3.1.9, 4.0.19, 4.1.3.1, 5.0.1.1 və ya daha yeni versiya
- org.springframework.ws:spring-xml5.0.2, 4.1.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| broadcom spring_web_services | v < 3.1.9, 4.0.0 ≤ v < 4.0.19, 4.1.0 ≤ v < 4.1.3.1, 5.0.0 ≤ v < 5.0.1.1 | 3.1.9, 4.0.19, 4.1.3.1, 5.0.1.1 |
| org.springframework.ws:spring-xmlMaven | 5.0.0 ≤ v < 5.0.2, 4.1.0 ≤ v < 4.1.4, 4.0.0 ≤ v ≤ 4.0.18, 3.1.0 ≤ v ≤ 3.1.8 | 5.0.2, 4.1.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.