JVNDB-2026-014053

VMwareのSpring Frameworkにおける重要な情報を含むキャッシュの使用に関する脆弱性

Spring MVCおよびWebFluxアプリケーションには、静的リソースの解決時にキャッシュポイズニングの脆弱性があります。具体的には、以下のすべての条件が満たされる場合にアプリケーションが脆弱になります。・アプリケーションがSpring MVCまたはSpring WebFluxを使用していること・アプリケーションがリソースチェーンサポート（https://docs.spring.io/spring-framework/reference/web/webmvc/mvc-config/static-resources.html#page-title）をキャッシュ有効で設定していること・アプリケーションがエンコードされたリソース解決をサポートしていること・攻撃者がアプリケーションにアクセス可能なときにリソースキャッシュが空であること。上記の条件がすべて満たされる場合、攻撃者は悪意のあるリクエストを送信して誤ったエンコーディングのリソースでリソースキャッシュを汚染できます。これにより、クライアント側のフロントエンドアプリケーションが破損し、サービス拒否（DoS）が発生する可能性があります。

VMware

• Spring Framework 5.3.48 未満
• Spring Framework 6.1.0 以上 6.1.27 未満
• Spring Framework 6.2.0 以上 6.2.18 未満
• Spring Framework 7.0.0 以上 7.0.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

VMware

• Spring Security Advisories : CVE-2026-22741: Static resource cache poisoning in Spring MVC and WebFlux

1. 重要な情報を含むキャッシュの使用(CWE-524) [その他]

1. CVE-2026-22741

1. National Vulnerability Database (NVD) : CVE-2026-22741
2. 関連文書 : NVD - CVSS v3 Calculator

• [2026年05月07日]
    掲載