CVE-2026-22740: DoS in Spring Framework WebFlux
प्लेटफ़ॉर्म
java
घटक
spring-framework
में ठीक किया गया
7.0.7
CVE-2026-22740 is a Denial of Service (DoS) vulnerability discovered in the Spring Framework's WebFlux component. This flaw arises when processing multipart requests where large parts are uploaded. The server creates temporary files for these parts, and under certain conditions, these files may not be properly deleted after the request completes, leading to disk space exhaustion. The vulnerability affects versions 5.3.0 through 7.0.7, and a fix is available in version 7.0.7.
इस CVE को अपने प्रोजेक्ट में पहचानें
अपनी pom.xml फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।
प्रभाव और हमले की स्थितियाँ
स्प्रिंग फ्रेमवर्क में CVE-2026-22740 वेबफ्लक्स सर्वर अनुप्रयोगों को प्रभावित करता है जो मल्टीपार्ट अनुरोधों को संसाधित करते हैं। 10 KB से अधिक बड़े भागों को संभालने पर, एप्लिकेशन अस्थायी फ़ाइलें बनाता है। कुछ परिस्थितियों में, इन अस्थायी फ़ाइलों को अनुरोध के पूरी तरह से संसाधित होने के बाद सही ढंग से हटाया नहीं जा सकता है। यह एक हमलावर को उपलब्ध डिस्क स्थान को लगातार खपत करने की अनुमति देता है, जिससे संभावित रूप से स्टोरेज को खत्म करके डिनायल-ऑफ-सर्विस (DoS) स्थिति हो सकती है। पुराने, असंगत संस्करण भी प्रभावित हैं। इस भेद्यता की गंभीरता को CVSS पैमाने पर 6.5 के रूप में रेट किया गया है।
शोषण संदर्भ
एक हमलावर इस भेद्यता का फायदा उठाने के लिए बड़ी फ़ाइलों वाले मल्टीपार्ट अनुरोधों को बार-बार भेज सकता है। प्रत्येक अनुरोध एक अस्थायी फ़ाइल बनाएगा जिसे, यदि सही ढंग से हटाया नहीं जाता है, तो डिस्क पर बना रहेगा। इस प्रक्रिया को दोहराकर, हमलावर धीरे-धीरे सर्वर की डिस्क स्थान को भर सकता है, जिससे अन्य एप्लिकेशन या सेवाएं ठीक से काम करना बंद कर देंगी। शोषण में आसानी सर्वर कॉन्फ़िगरेशन और सुरक्षा नीतियों पर निर्भर करती है, लेकिन यदि फिक्स लागू नहीं किया जाता है तो यह भेद्यता स्वाभाविक रूप से शोषण योग्य है।
खतरा खुफिया
एक्सप्लॉइट स्थिति
EPSS
0.05% (15% शतमक)
CVSS वेक्टर
इन मेट्रिक्स का क्या मतलब है?
- Attack Vector
- नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
- Attack Complexity
- निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
- Privileges Required
- निम्न — कोई भी वैध उपयोगकर्ता खाता पर्याप्त है।
- User Interaction
- कोई नहीं — स्वचालित और मूक हमला। पीड़ित कुछ नहीं करता।
- Scope
- अपरिवर्तित — प्रभाव केवल कमज़ोर घटक तक सीमित।
- Confidentiality
- कोई नहीं — गोपनीयता पर कोई प्रभाव नहीं।
- Integrity
- कोई नहीं — अखंडता पर कोई प्रभाव नहीं।
- Availability
- उच्च — पूर्ण क्रैश या संसाधन समाप्ति। पूर्ण सेवा से इनकार।
प्रभावित सॉफ्टवेयर
कमजोरी वर्गीकरण (CWE)
समयरेखा
- प्रकाशित
- EPSS अद्यतन
शमन और वर्कअराउंड
CVE-2026-22740 के लिए प्राथमिक शमन स्प्रिंग फ्रेमवर्क को संस्करण 7.0.7 में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो मल्टीपार्ट अनुरोधों को संसाधित करने के बाद अस्थायी फ़ाइलों को ठीक से हटाने को सुनिश्चित करता है। यदि तत्काल अपग्रेड संभव नहीं है, तो असामान्य खपत का पता लगाने के लिए डिस्क स्थान की निगरानी लागू करें। एप्लिकेशन के भीतर फ़ाइल आकार सीमाओं को कॉन्फ़िगर करने पर विचार करें ताकि अत्यधिक बड़ी अस्थायी फ़ाइलों के निर्माण से बचा जा सके। अपने सिस्टम को सुरक्षित रखने के लिए त्वरित कार्रवाई करना महत्वपूर्ण है।
कैसे ठीक करेंअनुवाद हो रहा है…
Actualice su framework Spring a la versión 5.3.48, 6.1.27, 6.2.18 o 7.0.7 o superior para mitigar el riesgo de denegación de servicio. Asegúrese de revisar las notas de la versión para cualquier cambio importante o incompatibilidades antes de actualizar. Implemente medidas de seguridad adicionales, como limitar el tamaño máximo de las partes de las solicitudes multipart, para reducir aún más la superficie de ataque.
अक्सर पूछे जाने वाले सवाल
CVE-2026-22740 क्या है — Spring Framework में DoS?
वेबफ्लक्स का उपयोग करने और मल्टीपार्ट अनुरोधों को संसाधित करने वाले सभी संस्करण संभावित रूप से प्रभावित हैं। पुराने, असंगत संस्करण विशेष रूप से जोखिम में हैं।
क्या मैं Spring Framework में CVE-2026-22740 से प्रभावित हूं?
उपयोग किए जा रहे स्प्रिंग फ्रेमवर्क संस्करण की जांच करें। यदि यह 7.0.7 से पहले का है और मल्टीपार्ट अनुरोध प्रसंस्करण के लिए वेबफ्लक्स का उपयोग करता है, तो यह संभवतः कमजोर है।
Spring Framework में CVE-2026-22740 को कैसे ठीक करें?
डिस्क स्थान की निगरानी लागू करें और अपलोड किए गए फ़ाइलों के आकार को सीमित करने पर विचार करें।
क्या CVE-2026-22740 का सक्रिय रूप से शोषण किया जा रहा है?
हाँ, एक हमलावर सर्वर की डिस्क स्थान को भर सकता है, जिससे डिनायल-ऑफ-सर्विस हो सकता है।
CVE-2026-22740 के लिए Spring Framework का आधिकारिक सुरक्षा सलाह कहां मिलेगी?
भेद्यता स्कैनिंग उपकरण आपके स्प्रिंग फ्रेमवर्क एप्लिकेशन में इस भेद्यता का पता लगा सकते हैं।
क्या आपका प्रोजेक्ट प्रभावित है?
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
इस CVE को अपने प्रोजेक्ट में पहचानें
अपनी pom.xml फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।
अपने Java / Maven प्रोजेक्ट को अभी स्कैन करें — कोई खाता नहीं
Upload your pom.xml and get the vulnerability report instantly. No account. Uploading the file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
अपनी डिपेंडेंसी फ़ाइल ड्रैग और ड्रॉप करें
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...