CVE-2026-22740: DoS in Spring Framework WebFlux
Plataforma
java
Componente
spring-framework
Corrigido em
7.0.7
CVE-2026-22740 is a Denial of Service (DoS) vulnerability discovered in the Spring Framework's WebFlux component. This flaw arises when processing multipart requests where large parts are uploaded. The server creates temporary files for these parts, and under certain conditions, these files may not be properly deleted after the request completes, leading to disk space exhaustion. The vulnerability affects versions 5.3.0 through 7.0.7, and a fix is available in version 7.0.7.
Detecte esta CVE no seu projeto
Envie seu arquivo pom.xml e descubra na hora se você está afetado.
Impacto e Cenários de Ataque
A vulnerabilidade CVE-2026-22740 no Spring Framework afeta aplicações WebFlux que processam requisições multipart. Quando arquivos grandes (maiores que 10 KB) são enviados, a aplicação cria arquivos temporários. Em certas circunstâncias, esses arquivos temporários podem não ser eliminados corretamente após o processamento da requisição. Isso permite que um atacante consuma persistentemente o espaço em disco disponível no servidor, podendo levar a uma negação de serviço (DoS) ao esgotar o armazenamento. Versões antigas e não suportadas do Spring Framework também são afetadas. A gravidade da vulnerabilidade é classificada como 6.5 na escala CVSS.
Contexto de Exploração
Um atacante pode explorar esta vulnerabilidade enviando repetidamente requisições multipart com arquivos grandes. Cada requisição criaria um arquivo temporário que, se não for eliminado corretamente, persistiria no disco. Ao repetir este processo, o atacante pode gradualmente preencher o espaço em disco do servidor, impedindo que outras aplicações ou serviços funcionem corretamente. A facilidade de exploração depende da configuração do servidor e das políticas de segurança, mas a vulnerabilidade é inerentemente explorável se a correção não for aplicada.
Inteligência de Ameaças
Status do Exploit
EPSS
0.05% (percentil 15%)
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Baixo — qualquer conta de usuário válida é suficiente.
- User Interaction
- Nenhuma — ataque automático e silencioso. A vítima não faz nada.
- Scope
- Inalterado — impacto limitado ao componente vulnerável.
- Confidentiality
- Nenhum — sem impacto na confidencialidade.
- Integrity
- Nenhum — sem impacto na integridade.
- Availability
- Alto — falha completa ou esgotamento de recursos. Negação de serviço total.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Publicada
- EPSS atualizado
Mitigação e Soluções Alternativas
A principal mitigação para CVE-2026-22740 é atualizar para a versão 7.0.7 do Spring Framework. Esta versão inclui uma correção que garante a eliminação adequada dos arquivos temporários após o processamento de requisições multipart. Se a atualização imediata não for possível, implemente o monitoramento do espaço em disco para detectar um consumo incomum. Considere configurar limites de tamanho de arquivo dentro da aplicação para evitar a criação de arquivos temporários excessivamente grandes. A ação rápida é crucial para proteger seus sistemas.
Como corrigirtraduzindo…
Actualice su framework Spring a la versión 5.3.48, 6.1.27, 6.2.18 o 7.0.7 o superior para mitigar el riesgo de denegación de servicio. Asegúrese de revisar las notas de la versión para cualquier cambio importante o incompatibilidades antes de actualizar. Implemente medidas de seguridad adicionales, como limitar el tamaño máximo de las partes de las solicitudes multipart, para reducir aún más la superficie de ataque.
Perguntas frequentes
O que é CVE-2026-22740 — DoS em Spring Framework?
Todas as versões que utilizam WebFlux e processam requisições multipart são potencialmente vulneráveis. Versões antigas e não suportadas são particularmente arriscadas.
Estou afetado pelo CVE-2026-22740 no Spring Framework?
Verifique a versão do Spring Framework em uso. Se for anterior à 7.0.7 e usar WebFlux para processamento de requisições multipart, provavelmente é vulnerável.
Como corrijo o CVE-2026-22740 no Spring Framework?
Implemente o monitoramento do espaço em disco e considere limitar o tamanho dos arquivos enviados.
O CVE-2026-22740 está sendo explorado ativamente?
Sim, um atacante pode preencher o espaço em disco do servidor, causando uma negação de serviço.
Onde encontro o aviso oficial do Spring Framework para o CVE-2026-22740?
Ferramentas de verificação de vulnerabilidades podem detectar esta vulnerabilidade em sua aplicação Spring Framework.
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Detecte esta CVE no seu projeto
Envie seu arquivo pom.xml e descubra na hora se você está afetado.
Escaneie seu projeto Java / Maven agora — sem conta
Envie seu pom.xml e receba o relatório de vulnerabilidades instantaneamente. Sem conta. Enviar o arquivo é só o começo: com uma conta você obtém monitoramento contínuo, alertas por Slack/e-mail, relatórios multi-projeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...