CVE-2026-41848
Publiée le 2026-06-09 · Dernière modification le 2026-07-23
Les applications utilisant le framework Spring sont vulnérables à une attaque par déni de service via des modèles d'URL spécifiquement conçus. Un attaquant non authentifié disposant d'un accès réseau peut envoyer une requête malveillante provoquant une hausse brutale de l'utilisation du processeur du serveur, ce qui peut ralentir ou bloquer l'application. Cependant, cette attaque est difficile à exécuter car elle nécessite que l'attaquant trouve un champ de saisie spécifique que l'application transmet directement à une méthode de correspondance de chemin vulnérable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Applications may be vulnerable to a Regular Expression Denial of Service (ReDoS) attack if an attacker is able to provide a pattern which is then directly or indirectly supplied to one of the following methods in AntPathMatcher: match(String pattern, String path), matchStart(String pattern, String path), extractUriTemplateVariables(String pattern, String path). Affected versions: Spring Framework 7.0.0 through 7.0.7; 6.2.0 through 6.2.18; 6.1.0 through 6.1.27; 5.3.0 through 5.3.48.