JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031793 HTMLエスケープが有効な状態でデータバインディングの Errors インスタンスを取得し、その後引数なしの Errors.getFieldErrors() または Errors.getFieldError() アクセサを使用してフィールドエラーをレンダリングする Spring MVC および WebFlux アプリケーションは、任意の HTML/JavaScript コードインジェクションに対して脆弱であり、その結果リフレクティッド クロスサイトスクリプティング（XSS）脆弱性が発生する可能性があります。対象バージョンは以下の通りです。Spring Framework 7.0.0 から 7.0.8まで、Spring Framework 6.2.0 から 6.2.19まで、Spring Framework 6.1.0 から 6.1.28まで、Spring Framework 6.0.0 から 6.0.30まで、Spring Framework 5.3.0 から 5.3.49まで、並びに Spring Framework 5.2.25.RELEASE 以前のバージョンです。 cpe:/a:vmware:spring_framework https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031793.html Common Vulnerabilities and Exposures (CVE) CVE-2026-59281 https://www.cve.org/CVERecord?id=CVE-2026-59281 National Vulnerability Database (NVD) CVE-2026-59281 https://nvd.nist.gov/vuln/detail/CVE-2026-59281 JVNDB CWE-79 https://jvndb.jvn.jp/ja/cwe/CWE-79.html Spring Security Advisories Spring Framework Cross-site Scripting via EscapedErrors https://spring.io/security/cve-2026-59281 2026-09-03T15:46:53+09:00 2026-09-03T15:46:53+09:00