CVE-2026-47878mediumCWE-502

CVE-2026-47878: falha de média gravidade em Spring Batch

Unsafe Java deserialization in DefaultExecutionContextSerializer without class allowlist

Publicada em

Seguir esta CVE+ Monitorar Spring Batch

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.6epss 0.4%
DefaultExecutionContextSerializer, used by default in Spring Batch's JDBC job repository, passes Base64-decoded bytes directly to ObjectInputStream.readObject() without an ObjectInputFilter that restricts types to a trusted class allowlist. Spring Batch 6.0.0 - 6.0.4 Spring Batch 5.2.6 and earlier
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
Produtos afetados
Spring · Spring Batch
CVEs relacionadas — Spring Batch

No mesmo produto, das mais perigosas para as menos.

CVE-2019-3774—Spring Batch XML External Entity Injection (XXE)EPSS 3.1%CVE-2026-47875MEDIUMJobParameterDeserializer bypasses the trusted-type allowlistEPSS 0.4%CVE-2026-47881MEDIUMDenial of Service in Spring Batch FlatFileItemReader via Malformed Input FileEPSS 0.4%