JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031529 JsonKafkaHeaderMapper と DefaultKafkaHeaderMapper は、そのデフォルトの信頼されたパッケージリストに java.net を含んでいます。これらのマッパーが使用される場合（これはすべての @KafkaListener コンシューマのデフォルト設定です）、外部の Kafka プロデューサーは spring_json_header_types メッセージヘッダーを介して java.net.InetAddress 型を注入することが可能です。対象バージョンは以下の通りです。Spring for Apache Kafka 4.1.0、Spring for Apache Kafka 4.0.0 から 4.0.6、Spring for Apache Kafka 3.0.0 から 3.3.16、Spring for Apache Kafka 2.9.0 から 2.9.14、および Spring for Apache Kafka 2.8.12 以前です。 cpe:/a:vmware:spring_for_apache_kafka https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031529.html Common Vulnerabilities and Exposures (CVE) CVE-2026-59278 https://www.cve.org/CVERecord?id=CVE-2026-59278 National Vulnerability Database (NVD) CVE-2026-59278 https://nvd.nist.gov/vuln/detail/CVE-2026-59278 JVNDB CWE-918 https://cwe.mitre.org/data/definitions/918.html Spring Security Advisories In Spring for Apache Kafka, SSRF via DNS resolution triggered by untrusted java.net types in header mapper default trusted packages https://spring.io/security/cve-2026-59278 2026-09-02T14:52:43+09:00 2026-09-02T14:52:43+09:00