JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032234 DeadLetterPublishingRecovererFactory は、インバウンドの ConsumerRecord から retry_topic-original-timestamp ヘッダーを読み取り、その生のバイトを長さやフォーマットの検証なしに直接 new BigInteger(header.value()) に渡します。この問題は、以下のバージョンの Spring for Apache Kafka に存在します。4.1.0、4.0.0 から 4.0.6、3.0.0 から 3.3.16、2.9.0 から 2.9.14、2.8.12 およびそれ以前のバージョンです。 cpe:/a:vmware:spring_for_apache_kafka https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032234.html Common Vulnerabilities and Exposures (CVE) CVE-2026-59317 https://www.cve.org/CVERecord?id=CVE-2026-59317 National Vulnerability Database (NVD) CVE-2026-59317 https://nvd.nist.gov/vuln/detail/CVE-2026-59317 JVNDB CWE-1284 https://cwe.mitre.org/data/definitions/1284.html Spring Security Advisories In Spring for Apache Kafka, missing header validation in DeadLetterPublishingRecovererFactory enables denial of service via a poison-pill loop https://spring.io/security/cve-2026-59317 2026-09-07T14:09:30+09:00 2026-09-07T14:09:30+09:00