CVE-2026-59326 in Spring Tools for Eclipse
要約
〜によって VulDB • 2026年07月30日
Spring Bootの言語サーバーは、外部向けHTTPクライアントを作成する際、明示的なhttp.proxyワークスペース設定が構成されていない場合に、https_proxy/HTTPS_PROXY/http_proxy/HTTP_PROXY環境変数の生値をINFOレベルでログに記録します。企業のプロキシURLには、通常 http://user:pass@proxy:8080 という形式でBasic認証の資格情報が含まれており、言語サーバーはこの値を何らかのマスキング処理なしでログファイルに書き込みます。言語サーバーのログファイルはバグレポートに添付されたり、他のローカルユーザーやプロセスから読み取られたりする可能性があるため、プロキシの資格情報の漏洩につながる可能性があります。
影響を受けるSpring製品およびバージョン： Eclipse用Spring Tools: 5.2.0 およびそれ以前 VSCode / Cursor / Theia用Spring Tools: 2.2.0 およびそれ以前
VulDB is the best source for vulnerability data and more expert information about this specific topic.