| タイトル | VMwareのSpring Frameworkにおけるパストラバーサルの脆弱性 |
|---|---|
| 概要 | Spring MVCおよびSpring WebFluxアプリケーションにおいて、Javaスクリプトエンジン（例：JRuby、Jython）を有効にしたテンプレートビューを使用すると、スクリプトテンプレートビューの設定された場所外のファイルから内容が漏洩する可能性があります。本問題はSpring Frameworkのバージョン7.0.0から7.0.5、6.2.0から6.2.16、6.1.0から6.1.25、5.3.0から5.3.46に影響を与えます。 |
| 想定される影響 | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年3月20日0:00 |
| 登録日 | 2026年4月24日11:33 |
| 最終更新日 | 2026年4月24日11:33 |
| CVSS3.0 : 警告 | |
| スコア | 5.9 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N |
| VMware |
| Spring Framework 5.3.47 未満 |
| Spring Framework 6.1.0 以上 6.1.26 未満 |
| Spring Framework 6.2.0 以上 6.2.17 未満 |
| Spring Framework 7.0.0 以上 7.0.6 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月24日] 掲載 |
2026年4月24日11:33 |
| 概要 | Use of Java scripting engine enabled (e.g. JRuby, Jython) template views in Spring MVC and Spring WebFlux applications can result in disclosure of content from files outside the configured locations for script template views. This issue affects Spring Framework: from 7.0.0 through 7.0.5, from 6.2.0 through 6.2.16, from 6.1.0 through 6.1.25, from 5.3.0 through 5.3.46. |
|---|---|
| 概要 | El uso de vistas de plantilla con motor de scripting de Java habilitado (p. ej., JRuby, Jython) en aplicaciones Spring MVC y Spring WebFlux puede resultar en la divulgación de contenido de archivos fuera de las ubicaciones configuradas para las vistas de plantilla de script. Este problema afecta a Spring framework: de 7.0.0 a 7.0.5, de 6.2.0 a 6.2.16, de 6.1.0 a 6.1.25, de 5.3.0 a 5.3.46. |
| 公表日 | 2026年3月20日9:16 |
| 登録日 | 2026年4月27日12:17 |
| 最終更新日 | 2026年4月23日23:20 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* | 5.3.47 | ||||
| cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* | 6.1.0 | 6.1.26 | |||
| cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* | 6.2.0 | 6.2.17 | |||
| cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* | 7.0.0 | 7.0.6 | |||