Upgrade to amqp-client 5.33.0 in 4.1.x (CVE-2026-63337)
I maintainer di solito rispondono entro 2 giorni
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 1/5
- Tempo stimato
- Meno di un'ora
- Idoneità per principianti
- 75/100
Direzione di ricerca
Inizia dalla dichiarazione della dipendenza gestita in platform/spring-boot-dependencies/build.gradle e controlla come vengono registrate le versioni delle dipendenze nelle vicinanze. Aggiorna la versione di amqp-client a 5.33.0, quindi verifica che i metadati delle dipendenze di 4.1.x riportino questa versione.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
The 4.1.x line currently manages com.rabbitmq:amqp-client 5.30.0 (library("Rabbit AMQP Client", "5.30.0") in platform/spring-boot-dependencies/build.gradle), which is in the affected range of CVE-2026-63337:
- Unsafe reflection (CWE-470) in
com.rabbitmq.tools.jsonrpc.JsonRpcClient: ajavaReturnTypevalue from an untrustedsystem.describeresponse is passed toClass.forName(...)with initialization enabled - Affects amqp-client ≥ 1.3.0 and < 5.33.0; fixed in 5.33.0
- CVSS v3 base score: 9.0
An attacker who can control broker responses (shared broker or network MITM) could trigger static initializers of classes already present in the victim JVM and cause type confusion.
Would you consider upgrading the managed amqp-client version to 5.33.0 in the 4.1.x branch? 5.33.0 stays on the 5.x line and is compatible with Spring AMQP 4.1.x / Spring Rabbit, so the upgrade should be a drop-in version bump.
Mend vulnerability database entry: https://www.mend.io/vulnerability-database/CVE-2026-63337/
- Lingua principale
- Java
- Stelle
- 81.7k
- Fork
- 45.1k
- Merge medio
- 2g 17h
- PR unite (30g)
- 44
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Leggi la guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di spring-projects/spring-boot
-
status: waiting-for-triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
spring-projects/spring-boot#52301 ·
I maintainer di solito rispondono entro 2 giorni
-
status: waiting-for-triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 88/100
spring-projects/spring-boot#52300 ·
I maintainer di solito rispondono entro 2 giorni
-
status: waiting-for-triage
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
spring-projects/spring-boot#52295 ·
I maintainer di solito rispondono entro 2 giorni
-
Upgrade to Spring LDAP 4.1.2Forse già presa @sunilaimlrymec-code l’ha presa 4 giorni fa. Apertastatus: team-only type: dependency-upgrade
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
spring-projects/spring-boot#52211 · 2 commenti ·
I maintainer di solito rispondono entro 2 giorni
-
Upgrade to Spring LDAP 4.0.6Apertastatus: team-only type: dependency-upgrade
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
spring-projects/spring-boot#52210 ·
I maintainer di solito rispondono entro 2 giorni
Tutte le issue di spring-projects/spring-boot
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
apache/rocketmq-dashboard#7250 ·
I maintainer di solito rispondono entro 3 giorni
-
Bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 67/100
ignatov/intellij-erlang#1093 ·
-
HttpMaxFrameSizeTest.sendOversizedMessageTest() passes silently when maxFrameSize is not enforcedAperta
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 90/100
apache/activemq#2706 · 1 commento ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
federicoiosue/Omni-Notes#1032 ·
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
unitycatalog/unitycatalog#2025 ·
I maintainer di solito rispondono entro 4 giorni