PT-2026-48328 · Vmware · Spring For Apache Pulsar

CVE-2026-41732

·

Publicado

2026-06-09

·

Atualizado

2026-06-27

CVSS v3.1

8.1

Alta

VetorAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas Spring for Apache Pulsar versões 1.1.0 até 1.1.17 Spring for Apache Pulsar versões 1.2.0 até 1.2.17 Spring for Apache Pulsar versões 2.0.0 até 2.0.5
Description O JsonPulsarHeaderMapper utiliza uma verificação de prefixo para corresponder cabeçalhos de tipo a pacotes confiáveis, o que faz com que qualquer pacote confiável confie implicitamente em todos os seus subpacotes. Essa correspondência excessivamente ampla expõe classes do JDK à desserialização. Além disso, se a configuração trusted-packages estiver vazia, o sistema assume a confiança em todos os pacotes em vez de aplicar uma lista de permissões segura.
Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Deserialization of Untrusted Data

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-41732
GHSA-GG69-9WWP-6JX2

Produtos afetados

Spring For Apache Pulsar