CVE-2026-22742

Опубликовано: 27 мар. 2026

Источник: nvd

CVSS3: 8.6

EPSS Низкий

Описание

Spring AI's spring-ai-bedrock-converse contains a Server-Side Request Forgery (SSRF) vulnerability in BedrockProxyChatModel when processing multimodal messages that include user-supplied media URLs. Insufficient validation of those URLs allows an attacker to induce the server to issue HTTP requests to unintended internal or external destinations. This issue affects Spring AI: from 1.0.0 before 1.0.5, from 1.1.0 before 1.1.4.

Ссылки

https://spring.io/security/cve-2026-22742
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:vmware:spring_ai:*:*:*:*:*:*:*:*

Версия от 1.0.0 (включая) до 1.0.5 (исключая)

cpe:2.3:a:vmware:spring_ai:*:*:*:*:*:*:*:*

Версия от 1.1.0 (включая) до 1.1.4 (исключая)

EPSS

Процентиль: 28%

0.00353

Низкий

8.6 High

CVSS3

Дефекты

CWE-918

Связанные уязвимости

GHSA-mhrg-94vw-45c5

CVSS3: 8.6

github

5 месяцев назад

Spring AI: Insufficient Validation causes SSRF when processing multimodal messages with user-supplied URLs

BDU:2026-05616

CVSS3: 8.6

fstec

5 месяцев назад

Уязвимость компонента Multimodal Message Handler фреймворка для разработки моделей искусственного интеллекта Spring AI, позволяющая нарушителю осуществить SSRF-атаку

EPSS

Процентиль: 28%

0.00353

Низкий

8.6 High

CVSS3

Дефекты

CWE-918