CVE-2026-41729: Spring Data REST SpEL Injection via JSON Patch Map Key

脆弱性概要 CVE-2026-41729: Spring Data REST SpEL インジェクション、JSON パッチ内の Map キー経由 深刻度: 高 公開日: 2026年6月9日 説明: Spring Data REST が JSON Patch（ ）リクエストを処理する際に、Map 型プロパティを介した SpEL 式インジェクションの脆弱性が存在します。永続化エンティティが 型プロパティを公開している場合、JSON ポインターのパス区間が Map のキーとして、いかなるサニタイゼーションや検証もなく、SpEL 式に直接組み込まれます。攻撃者は Map キー区間を構築することで、想定されるインデクサーリテラルから抜け出し、アグリゲートルートのコンテキストにおいて任意の SpEL サブ式を評価できます。 影響範囲 影響を受ける Spring プロダクトとバージョン: - Spring Data REST: - 3.7.0 - 3.7.19 - 4.3.0 - 4.3.16 - 4.4.0 - 4.4.14 - 4.5.0 - 4.5.11 - 5.0.0 - 5.0.5 前提条件: - 公開されているアグリゲートルートまたはネストされた組み込み型が、パッチパス経由で 型の永続化プロパティを宣言している。 - 攻撃者が を用いてリソースに対して リクエストを送信できる（有効化がデフォルトで設定されている。認証要件はアプリケーションのセキュリティ設定に依存する）。 修正方案 軽減措置: - 影響を受けるバージョンのユーザーは、対応する修正バージョンへのアップグレードを行うべきです。 貢献者 報告者: Daehyun Kang (@daehyuh) メール: daehyuh@gmail.com 参照 NVD CVSS カルキュレーター 履歴 2026-06-09: 初期の脆弱性レポートが公開されました。

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-41729: Spring Data REST SpEL Injection via JSON Patch Map Key

目標達成すべての支援者に感謝 — 100%達成しました！