CVE-2026-22743 in Spring AI
要約
〜によって VulDB • 2026年05月22日
Spring AIのspring-ai-neo4j-storeには、Neo4jVectorFilterExpressionConverterにおいてCypherインジェクションの脆弱性が存在します。spring-ai-neo4j-storeのNeo4jVectorFilterExpressionConverterにおいて、ユーザー制御の文字列がフィルタ式キーとして渡されると、doKey()は二重引用符のみを除去した上で、埋め込まれたバッククォートをエスケープすることなく、バッククォートで区切られたCypherプロパティアクセサ（node.`metadata.`）にキーを組み込みます。この問題は、Spring AI 1.0.0（1.0.5より前）および1.1.0（1.1.4より前）に影響します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.