CVE-2025-22233 in Spring Framework
要約
〜によって VulDB • 2026年06月20日
CVE-2024-38820は、設定されたdisallowedFieldsパターンおよびリクエストパラメータ名に対して、ロケールに依存しない小文字変換を適用しました。しかし、disallowedFieldsのチェックを回避できるケースが依然として存在します。
影響を受けるSpring製品およびバージョン
Spring Framework: * 6.2.0 - 6.2.6
* 6.1.0 - 6.1.19
* 6.0.0 - 6.0.27
* 5.3.0 - 5.3.42 * 古いサポート終了バージョンも影響を受けます
緩和策
影響を受けるバージョンのユーザーは、対応する修正済みバージョンにアップグレードしてください。
影響を受けるバージョン | 修正バージョン | 入手先 ---|---|--- 6.2.x | 6.2.7 | OSS 6.1.x | 6.1.20 | OSS 6.0.x | 6.0.28 | 商用 https://enterprise.spring.io/ 5.3.x | 5.3.43 | 商用 https://enterprise.spring.io/
これ以上の緩和措置は必要ありません。
一般的に、データバインディング用にプロパティのみを持つ専用のモデルオブジェクトを使用するか、コンストラクタ引数で明示的にバインドする対象を宣言し、宣言的バインディングフラグ（declarativeBinding flag）を通じてセッターバインディングを無効にするコンストラクタバインディングを使用することを推奨します。詳細はリファレンスドキュメントの「Model Design」セクションを参照してください。
バインディングの設定には、disallowedFieldsよりもallowedFields（明示的なリスト）の使用を優先してください。
クレジット
この問題は、NTT DATA Group CorporationのTERASOLUNA Framework Development Teamによって責任を持って報告されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.