Múltiples vulnerabilidades en Spring

Fecha de publicación 27/03/2026

Identificador

INCIBE-2026-235

Importancia

5 - Crítica

Recursos Afectados

Spring AI, versiones:

1.0.0 - 1.0.x
1.1.0 - 1.1.x

Descripción

Spring ha informado de 4 vulnerabilidades, 1 de severidad crítica y 3 altas que, en caso de ser explotadas, pueden permitir la ejecución de código en remoto y el envío de solicitudes HTTP a destinos no deseados, entre otras acciones.

Solución

Actualizar el producto a alguna de las siguientes versiones:

1.0.5;
1.1.4.

Detalle

CVE-2026-22738: vulnerabilidad de inyección SpEL (Spring Expression Language) en 'SimpleVectorStore' cuando un valor proporcionado por el usuario se utiliza como clave de la expresión de filtro. Un actor malicioso lo podría explotar para ejecutar código arbitrario. Esta vulnerabilidad únicamente afecta a aplicaciones que utilizan 'simpleVectorStore' y entradas proporcionadas por el usuario como claves de la expresión de filtro.

Las vulnerabilidades de severidad alta son CVE-2026-22744, CVE-2026-22743 y CVE-2026-22742 y su detalle se puede consultar en los enlaces de las referencias.

CVE