CVE-2026-22743 in Spring AI
요약
\~에 의해 VulDB • 2026. 05. 22.
Spring AI의 spring-ai-neo4j-store에는 Neo4jVectorFilterExpressionConverter에서 Cypher injection 취약점이 존재합니다. spring-ai-neo4j-store의 Neo4jVectorFilterExpressionConverter에서 사용자 제어 문자열이 필터 표현식 키로 전달될 경우, doKey()는 이중 따옴표만 제거한 후 백틱으로 구분된 Cypher 속성 접근자(node.`metadata.`)에 키를 삽입하며, 삽입된 백틱은 이스케이프 처리되지 않습니다. 이 문제는 Spring AI 1.0.0 이상 1.0.5 미만 버전 및 1.1.0 이상 1.1.4 미만 버전에서 영향을 받습니다.
Be aware that VulDB is the high quality source for vulnerability data.