Spring Data Relational: Attackers can supply wildcard characters to perform boolean-based blind data inference
Spring Data Relational does not properly escape binding values of externally-controlled input when using StringMatcher (STARTING, ENDING, or CONTAINING) in Query By Example (QBE). An attacker can supply wildcard characters to perform boolean-based blind data inference.
Affected versions: Spring Data Relational/JDBC/R2DBC 4.0.0 through 4.0.5; 3.5.0 through 3.5.11; 3.4.0 through 3.4.14; 3.3.0 through 3.3.16; 3.2.0 through 3.2.15; 3.1.0 through 3.1.14; 3.0.0 through 3.0.15; 2.4.0 through 2.4.19.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.springframework.data:spring-data-relational | >= 4.0.0, < 4.0.6, >= 3.5.0, < 3.5.12, >= 3.4.0, <= 3.4.14, >= 3.0.0, <= 3.3.16, <= 2.4.19 | 4.0.6, 3.5.12 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2026-41697
- https://github.com/spring-projects/spring-data-relational
- https://github.com/spring-projects/spring-data-relational/releases/tag/3.5.12
- https://github.com/spring-projects/spring-data-relational/releases/tag/4.0.6
- https://spring.io/security/cve-2026-41697
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L- Słabość (CWE)
CWE-943- Platforma
- Java / Kotlin (Maven)
- Paczka
org.springframework.data:spring-data-relational- Ujawniono
- 10.06.2026
- Aktualizacja
- 11.10.2026 12:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-8r2h-xh92-gq57 - CC BY 4.0
Historia podatności: org.springframework.data:spring-data-relational
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.