製品・ソフトウェアに関する情報
脆弱性検索
VMwareのSpring Data MongoDBにおける言語構文の表現に使用される特殊な要素の不適切な無効化に関する脆弱性
タイトル VMwareのSpring Data MongoDBにおける言語構文の表現に使用される特殊な要素の不適切な無効化に関する脆弱性
概要

Spring Data MongoDBにはSpEL（Spring Expression Language）式注入の脆弱性があります。この問題は、@Queryで注釈付けされたユーザー定義リポジトリクエリメソッドがすべてキャプチャするプレースホルダーを利用する際のパラメータバインディング中に発生します。影響を受けるバージョンは、Spring Data MongoDB 5.0.0から5.0.5まで、4.5.0から4.5.11まで、4.4.0から4.4.14まで、4.3.0から4.3.16まで、4.2.0から4.2.15まで、4.1.0から4.1.14まで、4.0.0から4.0.15まで、3.4.0から3.4.19まで存在します。

想定される影響 ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 
対策

ベンダ情報を参照して適切な対策を実施してください。

公表日 2026年6月10日0:00
登録日 2026年6月23日10:00
最終更新日 2026年6月23日10:00
CVSS3.0 : 重要
スコア 8.1
ベクター CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
影響を受けるシステム
VMware
Spring Data MongoDB 3.4.0 から 3.4.19
Spring Data MongoDB 4.0.0 から 4.0.15
Spring Data MongoDB 4.1.0 から 4.1.14
Spring Data MongoDB 4.2.0 から 4.2.15
Spring Data MongoDB 4.3.0 から 4.3.16
Spring Data MongoDB 4.4.0 から 4.4.11
Spring Data MongoDB 4.5.0 から 4.5.11
Spring Data MongoDB 5.0.0 から 5.0.5
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
変更履歴
No 変更内容 変更日
1 [2026年06月23日]
  掲載		 2026年6月23日10:00
NVD脆弱性情報
CVE-2026-41717
概要

Spring Data MongoDB contains a SpEL (Spring Expression Language) expression injection vulnerability. The issue occurs during parameter binding when a user-defined repository query method is annotated with @Query and utilizes a capture-all placeholder.

Affected versions:
Spring Data MongoDB 5.0.0 through 5.0.5; 4.5.0 through 4.5.11; 4.4.0 through 4.4.14; 4.3.0 through 4.3.16; 4.2.0 through 4.2.15; 4.1.0 through 4.1.14; 4.0.0 through 4.0.15; 3.4.0 through 3.4.19.

公表日 2026年6月10日9:16
登録日 2026年6月11日4:16
最終更新日 2026年6月10日9:16
関連情報、対策とツール
共通脆弱性一覧