Sharlong Wen

**Nome do Software Vulnerável e Versões Afetadas** Spring for Apache Kafka versão 4.1.0 Spring for Apache Kafka versões 4.0.0 a 4.0.6 Spring for Apache Kafka versões 3.0.0 a 3.3.16 Spring for Apache Kafka versões 2.9.0 a 2.9.14 Spring for Apache Kafka versões 2.8.12 e anteriores **Description** JsonKafkaHeaderMapper e DefaultKafkaHeaderMapper incluem java.net em sua lista de pacotes confiáveis padrão. Esta configuração, que é o padrão para todos os consumidores @KafkaListener, permite que um produtor Kafka externo injete um tipo `java.net.InetAddress` através do cabeçalho de mensagem `spring json header types`, podendo levar ao Server-Side Request Forgery (SSRF) via resolução de DNS. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Spring AI versões 1.0.0 a 1.0.5 Spring AI versões 1.1.0 a 1.1.4 **Descrição** Diversas implementações de `FilterExpressionConverter` não escapam adequadamente chaves e valores ao traduzir objetos de expressão de filtro para linguagens de consulta de armazenamento de vetores específicas. Esse escape inadequado permite a injeção de consultas, o que pode possibilitar que invasores alterem consultas ao armazenamento de vetores, levando potencialmente à exposição e adulteração de dados. **Recomendações** Atualizar as versões 1.0.0 a 1.0.5 para a 1.0.6. Atualizar as versões 1.1.0 a 1.1.4 para a 1.1.5.

**Nome do Software Vulnerável e Versões Afetadas** Spring AI versões 1.0.0 a 1.0.5 Spring AI versões 1.1.0 a 1.1.4 **Descrição** Um problema no `CosmosDBVectorStore` permite que invasores executem consultas SQL arbitrárias por meio de IDs de documentos manipulados. **Recomendações** Atualizar as versões 1.0.0 a 1.0.5 para a versão 1.0.6. Atualizar as versões 1.1.0 a 1.1.4 para a versão 1.1.5.