Alta

RFD attack via Content-Disposition header sourced from request input by Spring MVC or Spring WebFlux Application

Publicada: 21.01.2020
Actualizado: 11.10.2026 13:19

In Spring Framework, versions 5.2.x prior to 5.2.3, versions 5.1.x prior to 5.1.13, and versions 5.0.x prior to 5.0.16, an application is vulnerable to a reflected file download (RFD) attack when it sets a "Content-Disposition" header in the response where the filename attribute is derived from user supplied input.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.springframework:spring-webflux	>= 5.2.0.RELEASE, < 5.2.3.RELEASE, >= 5.1.0.RELEASE, < 5.1.13.RELEASE, >= 5.0.0.RELEASE, < 5.0.16.RELEASE	5.2.3.RELEASE, 5.1.13.RELEASE, 5.0.16.RELEASE
Java / Kotlin (Maven)	org.springframework:spring-webmvc	>= 5.2.0.RELEASE, < 5.2.3.RELEASE, >= 5.1.0.RELEASE, < 5.1.13.RELEASE, >= 5.0.0.RELEASE, < 5.0.16.RELEASE	5.2.3.RELEASE, 5.1.13.RELEASE, 5.0.16.RELEASE

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Debilidad (CWE): CWE-494, CWE-79
Plataforma: Java / Kotlin (Maven)
Paquete: org.springframework:spring-webflux, org.springframework:spring-webmvc
Publicada: 21.01.2020
Actualizado: 11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-8wx2-9q48-vm9r - CC BY 4.0

Historial de vulnerabilidades: org.springframework:spring-webflux

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (20) en el archivo

Entradas en total: 20
Primera → última: 01.2020 08.2026
Sin corrección: 1
Explotada en ataques: 1

Distribución por gravedad

Crítica 3
Alta 4
Media 11
Baja 2

Divulgaciones por año

2020: 2
2021: 0
2022: 1
2023: 0
2024: 2
2025: 0
2026: 15

27.08.2026

Spring Framework Header Predicate Bypass in WebFlux Functional Endpoints

Crítica · 9.8 CVE-2026-47892 >= 5.2.5.RELEASE, <= 5.2.25.RELEASE, >= 5.3.0, <= 5.3.49, >= 6.0.0, <= 6.0.30, >= 6.1.0, <= 6.1.28, >= 6.2.0, <= 6.2.19, >= 7.0.0, < 7.0.9 7.0.9
27.08.2026

Spring Framework Server Sent Event stream corruption while rendering fragments

Crítica · 9.8 CVE-2026-47890 >= 6.2.0, <= 6.2.19, >= 7.0.0, < 7.0.9 7.0.9
09.06.2026

Spring Framework Denial of Service via Versioned Resources in Spring MVC and WebFlux

Alta · 7.5 CVE-2026-41842 >= 7.0.0, < 7.0.8, >= 6.2.0, < 6.2.19, >= 6.1.0, <= 6.1.21, <= 5.3.39 7.0.8, 6.2.19
19.12.2024

Spring Framework Path Traversal vulnerability

Alta · 7.5 CVE-2024-38819 >= 6.1.0, < 6.1.14, <= 5.3.40, >= 6.0.0, <= 6.0.24 6.1.14
13.09.2024

Path traversal vulnerability in functional web frameworks

Alta · 7.5 CVE-2024-38816 >= 6.1.0, < 6.1.13, >= 6.0.0, <= 6.0.23, >= 5.3.0, <= 5.3.39 6.1.13
31.03.2022

Remote Code Execution in Spring Framework

Crítica · 9.8 Explotada en ataques CVE-2022-22965 < 5.2.20.RELEASE, >= 5.3.0, < 5.3.18 5.2.20.RELEASE, 5.3.18
21.01.2020

RFD attack via Content-Disposition header sourced from request input by Spring MVC or Spring WebFlux Application esta entrada

Alta · 7.5 CVE-2020-5398 >= 5.2.0.RELEASE, < 5.2.3.RELEASE, >= 5.1.0.RELEASE, < 5.1.13.RELEASE, >= 5.0.0.RELEASE, < 5.0.16.RELEASE 5.2.3.RELEASE, 5.1.13.RELEASE, 5.0.16.RELEASE

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación