CVE-2026-41717

Nome do Software Vulnerável e Versões Afetadas Spring Data MongoDB versões 5.0.0 a 5.0.5 Spring Data MongoDB versões 4.5.0 a 4.5.11 Spring Data MongoDB versões 4.4.0 a 4.4.14 Spring Data MongoDB versões 4.3.0 a 4.3.16 Spring Data MongoDB versões 4.2.0 a 4.2.15 Spring Data MongoDB versões 4.1.0 a 4.1.14 Spring Data MongoDB versões 4.0.0 a 4.0.15 Spring Data MongoDB versões 3.4.0 a 3.4.19

Description Existe um problema de injeção de expressão envolvendo a Spring Expression Language (SpEL), que é uma linguagem de expressão poderosa para o Spring Framework. O problema ocorre durante a vinculação de parâmetros quando um método de consulta de repositório definido pelo usuário é anotado com @Query e utiliza um marcador de posição de captura total (capture-all placeholder), potencialmente permitindo a execução remota de código (RCE).

Recommendations Atualizar as versões 5.0.0 a 5.0.5 para uma versão mais recente que contenha a correção. Atualizar as versões 4.5.0 a 4.5.11 para a versão 4.5.12. Atualizar as versões 4.4.0 a 4.4.14 para uma versão mais recente que contenha a correção. Atualizar as versões 4.3.0 a 4.3.16 para uma versão mais recente que contenha a correção. Atualizar as versões 4.2.0 a 4.2.15 para uma versão mais recente que contenha a correção. Atualizar as versões 4.1.0 a 4.1.14 para uma versão mais recente que contenha a correção. Atualizar as versões 4.0.0 a 4.0.15 para uma versão mais recente que contenha a correção. Atualizar as versões 3.4.0 a 3.4.19 para uma versão mais recente que contenha a correção.