CVE-2026-22743
Açıklama
Spring AI'nın spring-ai-neo4j-store bileşeni, Neo4jVectorFilterExpressionConverter içerisinde bir Cypher injection zafiyeti içermektedir. spring-ai-neo4j-store'un Neo4jVectorFilterExpressionConverter kısmında kullanıcı kontrollü bir dize filtre ifadesi anahtarı olarak iletildiğinde, doKey() fonksiyonu yalnızca çift tırnakları temizleyerek ve gömülü ters tırnakları kaçırmadan anahtarı ters tırnakla sınırlandırılmış bir Cypher özellik erişicisine (node.`metadata.`) yerleştirmektedir. Bu sorun Spring AI'yı etkilemektedir: 1.0.0'dan 1.0.5 öncesine kadar ve 1.1.0'dan 1.1.4 öncesine kadar olan sürümler.
Nasıl düzeltilir
- vmware spring_ai1.0.5, 1.1.4 ya da sonraki bir sürüm
- org.springframework.ai:spring-ai-neo4j-store1.0.5, 1.1.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_ai | 1.0.0 ≤ v < 1.0.5, 1.1.0 ≤ v < 1.1.4 | 1.0.5, 1.1.4 |
| org.springframework.ai:spring-ai-neo4j-storeMaven | 1.0.0-M5 ≤ v < 1.0.5, 1.1.0-M1 ≤ v < 1.1.4 | 1.0.5, 1.1.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.