CVE-2026-62242

Nome do Software Vulnerável e Versões Afetadas Spring Boot Admin Server versões anteriores a 4.1.2

Descrição Existe um problema onde invasores não autenticados podem registrar instâncias usando os parâmetros healthUrl e managementUrl controlados pelo invasor. Devido à falta de validação contra intervalos de IP privados ou endpoints de metadados, o servidor pode ser forçado a fazer requisições HTTP para endereços internos arbitrários. Isso permite a recuperação de corpos de resposta via proxy do actuator para exfiltrar credenciais de nuvem. Trata-se de um server-side request forgery, uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Recomendações Atualize para a versão 4.1.2 ou posterior. Restrinja o uso dos parâmetros healthUrl e managementUrl durante o registro de instâncias até que a atualização seja aplicada.