JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032261 悪意のある、または侵害されたFTP/SFTP/SMBサーバーは、攻撃者が制御するコンテンツを用いて、クライアントのファイルシステム上の任意の場所（設定されたローカルディレクトリの外部）に任意のファイルを書き込むことが可能です。影響を受けるバージョンは、Spring Integrationの7.0.0から7.0.4まで、6.5.0から6.5.8まで、6.4.0から6.4.11まで、6.3.0から6.3.14まで、および5.5.0から5.5.20までです。 cpe:/a:vmware:spring_integration https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032261.html Common Vulnerabilities and Exposures (CVE) CVE-2026-40987 https://www.cve.org/CVERecord?id=CVE-2026-40987 National Vulnerability Database (NVD) CVE-2026-40987 https://nvd.nist.gov/vuln/detail/CVE-2026-40987 JVNDB CWE-22 https://jvndb.jvn.jp/ja/cwe/CWE-22.html Spring Security Advisories Remote-file synchronizer in Spring Integration writes server-supplied filename under localDirectory without canonicalization https://spring.io/security/cve-2026-40987 2026-09-07T14:10:57+09:00 2026-09-07T14:10:57+09:00