CVE-2026-47864

Nome do Software Vulnerável e Versões Afetadas Spring Integration versão 7.1.0 Spring Integration versões 7.0.0 a 7.0.5 Spring Integration versões 6.5.0 a 6.5.10 Spring Integration versões 6.4.0 a 6.4.12 Spring Integration versões 5.5.21 e anteriores

Description O SerializingHttpMessageConverter desserializa o corpo de requisições HTTP recebidas usando um java.io.ObjectInputStream bruto e sem filtragem de classes. Quando uma requisição é enviada com o Content-Type application/x-java-serialized-object e o corpo resolve para um tipo Serializable, ele é lido diretamente através da função readObject(). Se a aplicação possuir um gadget de desserialização Java—uma cadeia de classes existentes que podem ser exploradas durante a desserialização—em seu classpath, um invasor remoto não autenticado pode alcançar a execução arbitrária de código.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.