Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] VMware Spring opravuje 8 zraniteľností

VMware Spring opravuje 8 zraniteľností nachádzajúcich sa v rôznych produktoch. Najzávažnejšie zraniteľnosti sú popísané nižšie, zvyšné nájdete na [1] po rozkliknutí jednotlivých varovaní. Produkty a ich opravené verzie: Spring Security - 5.7.22, 5.8.24, 6.3.15, 6.4.15, 6.5.9, 7.0.4 [2] Spring AI - 1.0.4, 1.1.3 [3][4] Spring Cloud Config - 3.1.13, 4.1.9, 4.2.6, 4.3.2, 5.0.2 [5] Spring Framework - 5.3.47, 6.1.26, 6.2.17, 7.0.6 [6][7] Spring Boot - 2.7.32, 3.3.18, 3.4.15, 3.5.12, 4.0.4 [8][9]

Spring Security - odhalenie citlivých údajov (CVE-2026-22732)
CVSS 9.1 (Critical)

Neautentizovanému vzdialenému útočníkovi je kvôli chybnému zapisovaniu HTTP odpovedových hlavičiek v aplikáciách používajúcich Spring Security umožnené získať citlivé informácie [2].

Zraniteľnosť sa nachádza v produkte:

  • Spring Security; >=5.7.0, <=5.7.21; >=5.8.0, <=5.8.23, >=6.3.0, <=6.3.14; >=6.4.0, <=6.4.14; >=6.5.0, <=6.5.8; >=7.0.0, <=7.0.3

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 19. 3. 2026.

Spring AI - SQL injection (CVE-2026-22730)
CVSS 8.8 (High)

Autentizovanému vzdialenému útočníkovi je kvôli chýbajúcej sanitizácii vstupu v komponente MariaDBFilterExpressionConverter v produkte Spring AI umožnené obísť riadenie prístupu založené na metadátach a spustiť ľubovoľné SQL príkazy [3].

Zraniteľnosť sa nachádza v produkte:

  • Spring AI; >=1.0.0, <1.0.4; >=1.1.0, <1.1.3

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-22730 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 3. 2026.

Spring AI - JSONPath injection (CVE-2026-22729)
CVSS 8.6 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnému escapovaniu používateľského vstupu v JSONPath dotazoch komponentu AbstractFilterExpressionConverter v produkte Spring AI umožnené obísť riadenie prístupu založené na metadátach a získať prístup k neoprávneným dokumentom [4].

Zraniteľnosť sa nachádza v produkte:

  • Spring AI; >=1.0.0, <1.0.4; >=1.1.0, <1.1.3

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Viac informácií:

  • CVE-2026-22729 na cve.org, NVD
  • CWE-917: Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 3. 2026.

Spring Cloud Config - SSRF (CVE-2026-22739)
CVSS 8.6 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli chybnej substitúcii parametra profile v produkte Spring Cloud Config Server umožnené pristupovať k súborom mimo nakonfigurovaných vyhľadávacích adresárov alebo pri použití backendu repozitára vykonávať SSRF útoky [5].

Zraniteľnosť sa nachádza v produkte:

  • Spring Cloud Config; >=3.1.0, <3.1.13; >=4.1.0, <4.1.9; >=4.2.0, <4.2.6; >=4.3.0, <4.3.2; >=5.0.0, <5.0.2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L

Viac informácií:

  • CVE-2026-22739 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 23. 3. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 26. 3. 2026.

CESNET, z.s.p.o. Logo