PT-2026-27270 · Vmware · Spring Cloud

Hyunwoo Kim + 1 · Publicado 2026-03-23 · Atualizado 2026-04-01 · CVE-2026-22739

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas: Spring Cloud versões 3.1.X até 3.1.12, 4.1.X até 4.1.8, 4.2.X até 4.2.2, 4.3.X até 4.3.1 e 5.0.X até 5.0.1.

Descrição: Uma falha existe no Spring Cloud Config ao substituir o parâmetro de perfil de uma solicitação para o Spring Cloud Config Server configurado para usar o sistema de arquivos nativo como backend. Isso permite que um invasor acesse arquivos fora dos diretórios de pesquisa configurados. O problema é devido à restrição de caminho inadequada.

Recomendações: Atualize o Spring Cloud para a versão 3.1.13, 4.1.9, 4.2.3, 4.3.2 ou 5.0.2.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2026-04241

CVE-2026-22739

GHSA-3QWQ-Q9VM-5J42

Produtos afetados

Spring Cloud

Referências · 19

• https://github.com/spring-cloud/spring-cloud-config · Nota
• https://github.com/spring-cloud/spring-cloud-config/commit/1870f07befd5f62edcfdaea5ad82441d0fd49912 · Nota
• https://github.com/spring-cloud/spring-cloud-config/releases/tag/v4.3.2 · Nota
• https://github.com/spring-cloud/spring-cloud-config/releases/tag/v5.0.2 · Nota
• https://twitter.com/TheHackerWire/status/2036254187017871413 · Publicação no Twitter
• https://twitter.com/scandaletti/status/2036568925782286361 · Publicação no Twitter
• https://twitter.com/v4bel/status/2039268612360622114 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-04241 · Nota de Segurança
• https://spring.io/security/cve-2026-22739 · Nota
• https://twitter.com/SirajD_Official/status/2037398217118413080 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-3qwq-q9vm-5j42 · Aviso do Fabricante
• https://twitter.com/aaappp75764701/status/2036704756111167584 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22739 · Nota de Segurança
• https://twitter.com/dsimelka/status/2038958513595261150 · Publicação no Twitter
• https://twitter.com/CloudVirtues/status/2038108083512369424 · Publicação no Twitter