JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032247 Spring IntegrationのJSONからオブジェクトへの変換では、json__TypeId__ヘッダーを使用して逆シリアル化の対象タイプを選択し、そのヘッダー値をClassUtils.forNameでクラスに解決しますが、タイプやパッケージの許可リストが存在しません。対象バージョンは、Spring Integration 7.1.0、Spring Integration 7.0.0〜7.0.5、Spring Integration 6.5.0〜6.5.10、Spring Integration 6.4.0〜6.4.12、Spring Integration 5.5.21およびそれ以前のバージョンです。 cpe:/a:vmware:spring_integration https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032247.html Common Vulnerabilities and Exposures (CVE) CVE-2026-47856 https://www.cve.org/CVERecord?id=CVE-2026-47856 National Vulnerability Database (NVD) CVE-2026-47856 https://nvd.nist.gov/vuln/detail/CVE-2026-47856 JVNDB CWE-502 https://cwe.mitre.org/data/definitions/502.html Spring Security Advisories JsonToObjectTransformer resolves the json__TypeId__ message header to an arbitrary class without an allow-list https://spring.io/security/cve-2026-47856 2026-09-07T14:10:12+09:00 2026-09-07T14:10:12+09:00