CVE-2026-22740: DoS em Spring Framework
Plataforma
java
Componente
spring-framework
Corrigido em
7.0.7
A vulnerabilidade CVE-2026-22740 afeta o Spring Framework, especificamente aplicações WebFlux que processam requisições multipart. Um atacante pode explorar essa falha para consumir espaço em disco, levando a uma negação de serviço. As versões afetadas incluem 5.3.0 até 7.0.7, e a correção está disponível na versão 7.0.7.
Detecte esta CVE no seu projeto
Envie seu arquivo pom.xml e descubra na hora se você está afetado.
Impacto e Cenários de Ataque
Um atacante pode explorar essa vulnerabilidade enviando requisições multipart com arquivos maiores que 10 KB. O Spring Framework cria arquivos temporários para esses arquivos, mas em certas circunstâncias, esses arquivos podem não ser excluídos após o processamento da requisição. Ao enviar um grande número de requisições com arquivos grandes, um atacante pode esgotar o espaço em disco do servidor, tornando-o indisponível para outros usuários. O impacto principal é a indisponibilidade do serviço, podendo afetar aplicações críticas que dependem do Spring Framework. A ausência de limpeza adequada dos arquivos temporários representa um risco significativo para a estabilidade e disponibilidade do sistema.
Contexto de Exploração
A vulnerabilidade foi publicada em 29 de abril de 2026. A probabilidade de exploração é considerada média, dada a natureza de DoS e a necessidade de enviar um grande número de requisições. Não há evidências de campanhas ativas de exploração no momento. A vulnerabilidade não está listada no KEV (Known Exploited Vulnerabilities) da CISA. A severidade está pendente de avaliação completa, mas o CVSS score de 6.5 (MEDIUM) indica um risco moderado.
Inteligência de Ameaças
Status do Exploit
EPSS
0.05% (percentil 15%)
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Baixo — qualquer conta de usuário válida é suficiente.
- User Interaction
- Nenhuma — ataque automático e silencioso. A vítima não faz nada.
- Scope
- Inalterado — impacto limitado ao componente vulnerável.
- Confidentiality
- Nenhum — sem impacto na confidencialidade.
- Integrity
- Nenhum — sem impacto na integridade.
- Availability
- Alto — falha completa ou esgotamento de recursos. Negação de serviço total.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Publicada
- EPSS atualizado
Mitigação e Soluções Alternativas
A mitigação primária é atualizar o Spring Framework para a versão 7.0.7 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de mitigação temporárias. Uma opção é configurar o sistema de arquivos para limitar o tamanho dos arquivos temporários ou o número máximo de arquivos temporários que podem ser criados. Além disso, monitorar o espaço em disco e implementar alertas para quando o espaço estiver baixo pode ajudar a detectar e responder a ataques. Verifique se a configuração do Spring Framework está otimizada para evitar a criação excessiva de arquivos temporários. Após a atualização, confirme a correção verificando os logs do sistema em busca de erros relacionados ao gerenciamento de arquivos temporários.
Como corrigirtraduzindo…
Actualice su framework Spring a la versión 5.3.48, 6.1.27, 6.2.18 o 7.0.7 o superior para mitigar el riesgo de denegación de servicio. Asegúrese de revisar las notas de la versión para cualquier cambio importante o incompatibilidades antes de actualizar. Implemente medidas de seguridad adicionales, como limitar el tamaño máximo de las partes de las solicitudes multipart, para reducir aún más la superficie de ataque.
Perguntas frequentes
O que é CVE-2026-22740 — DoS em Spring Framework?
CVE-2026-22740 é uma vulnerabilidade de Negação de Serviço (DoS) no Spring Framework que permite a um atacante consumir espaço em disco através de arquivos temporários não excluídos em aplicações WebFlux que processam requisições multipart.
Estou afetado pelo CVE-2026-22740 em Spring Framework?
Se você estiver utilizando o Spring Framework nas versões de 5.3.0 a 7.0.7 em aplicações WebFlux que processam requisições multipart, você está potencialmente afetado por essa vulnerabilidade.
Como corrigir CVE-2026-22740 em Spring Framework?
A correção é atualizar o Spring Framework para a versão 7.0.7 ou superior. Se a atualização imediata não for possível, aplique medidas de mitigação temporárias, como limitar o tamanho dos arquivos temporários.
CVE-2026-22740 está sendo ativamente explorado?
Atualmente, não há evidências de campanhas ativas de exploração, mas a vulnerabilidade representa um risco moderado devido à sua natureza de DoS.
Onde posso encontrar o advisory oficial do Spring Framework para CVE-2026-22740?
Consulte o site do Spring Framework para obter o advisory oficial e informações detalhadas sobre a vulnerabilidade: [https://spring.io/security/cve-2026-22740](https://spring.io/security/cve-2026-22740)
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Detecte esta CVE no seu projeto
Envie seu arquivo pom.xml e descubra na hora se você está afetado.
Escaneie seu projeto Java / Maven agora — sem conta
Envie seu pom.xml e receba o relatório de vulnerabilidades instantaneamente. Sem conta. Enviar o arquivo é só o começo: com uma conta você obtém monitoramento contínuo, alertas por Slack/e-mail, relatórios multi-projeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...