PT-2026-28325 · Vmware · Spring Ai

CVE-2026-22742 · Publicado 2026-03-18 · Atualizado 2026-04-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions Spring AI versões 1.0.0 através de 1.0.4 e 1.1.0 através de 1.1.3

Description O componente spring-ai-bedrock-converse do Spring AI apresenta uma vulnerabilidade de Server-Side Request Forgery (SSRF) dentro do BedrockProxyChatModel ao processar mensagens multimodais contendo URLs de mídia fornecidas pelo usuário. A falta de validação adequada desses URLs permite que um invasor faça com que o servidor envie solicitações HTTP para locais não intencionais, internos ou externos.

Recommendations Atualize o Spring AI para a versão 1.0.5 ou posterior. Atualize o Spring AI para a versão 1.1.4 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BDU:2026-05616

CVE-2026-22742

GHSA-MHRG-94VW-45C5

Produtos afetados

Spring Ai

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22742.json · Exploit
• https://github.com/spring-projects/spring-ai · Nota
• https://github.com/spring-projects/spring-ai/commit/a7d3223bc11a010b93fbc40a17fa9b68c52a8118 · Nota
• https://github.com/spring-projects/spring-ai/releases/tag/v1.0.5 · Nota
• https://github.com/spring-projects/spring-ai/releases/tag/v1.1.4 · Nota
• https://spring.io/security/cve-2026-22742 · Aviso do Fabricante
• https://twitter.com/v4bel/status/2039268612360622114 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-mhrg-94vw-45c5 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-22742 · Aviso do Fabricante
• https://twitter.com/CCBalert/status/2038618365183283256 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2038013262479102344 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22742 · Nota de Segurança
• https://twitter.com/CVEnew/status/2037513367787549048 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-05616 · Nota de Segurança
• https://vuldb.com/vuln/353818 · Nota