CVE-2026-22741
Açıklama
Spring MVC ve WebFlux uygulamaları, statik kaynaklar çözümlenirken önbellek zehirlemesine (cache poisoning) karşı savunmasızdır. Daha kesin olarak, aşağıdaki durumların tamamı geçerli olduğunda bir uygulama savunmasız olabilir: * Uygulamanın Spring MVC veya Spring WebFlux kullanıyor olması * Uygulamanın, önbellekleme etkinleştirilmiş şekilde resource chain desteğini (https://docs.spring.io/spring-framework/reference/web/webmvc/mvc-config/static-resources.html#page-title) yapılandırıyor olması * Uygulamanın kodlanmış kaynak çözümleme desteği eklemiş olması * Saldırganın uygulamaya erişimi olduğu sırada kaynak önbelleğinin boş olması Yukarıdaki koşulların tamamı karşılandığında, saldırgan kötü niyetli istekler gönderebilir ve yanlış kodlama kullanan kaynaklarla kaynak önbelleğini zehirleyebilir. Bu durum, istemciler için ön uç uygulamasını bozarak hizmet reddine (DoS) neden olabilir.
Nasıl düzeltilir
- vmware spring_framework5.3.48, 6.1.27, 6.2.18, 7.0.7 ya da sonraki bir sürüm
- org.springframework:spring-webflux7.0.7, 6.2.18 ya da sonraki bir sürüm
- org.springframework:spring-webmvc7.0.7, 6.2.18 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_framework | v < 5.3.48, 6.1.0 ≤ v < 6.1.27, 6.2.0 ≤ v < 6.2.18, 7.0.0 ≤ v < 7.0.7 | 5.3.48, 6.1.27, 6.2.18, 7.0.7 |
| org.springframework:spring-webfluxMaven | 7.0.0 ≤ v < 7.0.7, 6.2.0 ≤ v < 6.2.18, 6.1.0 ≤ v ≤ 6.1.26, v ≤ 5.3.47 | 7.0.7, 6.2.18 |
| org.springframework:spring-webmvcMaven | 7.0.0 ≤ v < 7.0.7, 6.2.0 ≤ v < 6.2.18, 6.1.0 ≤ v ≤ 6.1.26, v ≤ 5.3.47 | 7.0.7, 6.2.18 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.