CVE-2026-22743
Təsvir
Spring AI-nin spring-ai-neo4j-store komponentində Neo4jVectorFilterExpressionConverter daxilində Cypher injection zəifliyi mövcuddur. İstifadəçi tərəfindən idarə olunan sətir spring-ai-neo4j-store-un Neo4jVectorFilterExpressionConverter hissəsində filtr ifadəsinin açarı kimi ötürüldükdə, doKey() funksiyası yalnız qoşa dırnaqları silərək və daxili geri dırnaqları (backticks) ekranlamadan (escaping), açarı geri dırnaqlarla ayrılmış Cypher xüsusiyyət accessoruna (node.`metadata.`) yerləşdirir. Bu problem Spring AI-nin 1.0.0-dan 1.0.5-ə qədər və 1.1.0-dan 1.1.4-ə qədər olan versiyalarına təsir edir.
Necə düzəltmək olar
- vmware spring_ai1.0.5, 1.1.4 və ya daha yeni versiya
- org.springframework.ai:spring-ai-neo4j-store1.0.5, 1.1.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vmware spring_ai | 1.0.0 ≤ v < 1.0.5, 1.1.0 ≤ v < 1.1.4 | 1.0.5, 1.1.4 |
| org.springframework.ai:spring-ai-neo4j-storeMaven | 1.0.0-M5 ≤ v < 1.0.5, 1.1.0-M1 ≤ v < 1.1.4 | 1.0.5, 1.1.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.