JVN iPedia
http://jvndb.jvn.jp
Advisory
JVNDB-2026-011770
VMwareのSpring AIにおける言語構文の表現に使用される特殊な要素の不適切な無効化に関する脆弱性
Spring AIのSimpleVectorStoreにおいて、ユーザーが提供した値がフィルター式のキーとして使用される際にSpELインジェクションの脆弱性が存在します。悪意のある攻撃者はこれを悪用して任意のコードを実行する可能性があります。SimpleVectorStoreを使用し、かつユーザーが提供した入力をフィルター式のキーとして渡すアプリケーションが影響を受けます。この問題はSpring AIのバージョン1.0.0から1.0.5未満、および1.1.0から1.1.4未満に影響します。
cpe:/a:vmware:spring_ai
https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-011770.html
Common Vulnerabilities and Exposures (CVE)
CVE-2026-22738
https://www.cve.org/CVERecord?id=CVE-2026-22738
National Vulnerability Database (NVD)
CVE-2026-22738
https://nvd.nist.gov/vuln/detail/CVE-2026-22738
Spring Security Advisories
CVE-2026-22738: SpEL Injection via Unescaped Filter Key in SimpleVectorStore Leads to Remote Code Execution
https://spring.io/security/cve-2026-22738
JVNDB
CWE-917
言語構文の表現に使用される特殊な要素の不適切な無効化
https://cwe.mitre.org/data/definitions/917.html
2026-04-20T11:42:41+09:00
2026-04-20T11:42:41+09:00