CVE-2026-47875mediumCWE-502

CVE-2026-47875: falha de média gravidade em Spring Batch

JobParameterDeserializer bypasses the trusted-type allowlist

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Spring Batch

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.6epss 0.4%
Applications that deserialize execution contexts with Jackson2ExecutionContextStringSerializer are vulnerable to a deserialization attack if they use an untrusted data source for the job repository. The JobParameterDeserializer does not properly enforce the trusted-types allowlist, allowing an attacker to craft malicious input that can lead to arbitrary code execution, including known Jackson RCE gadgets. Spring Batch 6.0.0 - 6.0.4 Spring Batch 5.2.0 - 5.2.6
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
Produtos afetados
Spring · Spring Batch
CVEs relacionadas — Spring Batch

No mesmo produto, das mais perigosas para as menos.

CVE-2019-3774—Spring Batch XML External Entity Injection (XXE)EPSS 3.1%CVE-2026-47881MEDIUMDenial of Service in Spring Batch FlatFileItemReader via Malformed Input FileEPSS 0.4%CVE-2026-47878MEDIUMUnsafe Java deserialization in DefaultExecutionContextSerializer without class allowlistEPSS 0.4%