Zaloguj się
Deutsch English Español Polski
Wysoka

Spring Framework Path Traversal vulnerability

  • Ujawniono: 19.12.2024
  • Aktualizacja: 11.10.2026 13:20

Applications serving static resources through the functional web frameworks WebMvc.fn or WebFlux.fn are vulnerable to path traversal attacks. An attacker can craft malicious HTTP requests and obtain any file on the file system that is also accessible to the process in which the Spring application is running.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.springframework:spring-webflux >= 6.1.0, < 6.1.14, <= 5.3.40, >= 6.0.0, <= 6.0.24 6.1.14
Java / Kotlin (Maven) org.springframework:spring-webmvc >= 6.1.0, < 6.1.14, <= 5.3.40, >= 6.0.0, <= 6.0.24 6.1.14

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-22
Platforma
Java / Kotlin (Maven)
Paczka
org.springframework:spring-webflux, org.springframework:spring-webmvc
Ujawniono
19.12.2024
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-g5vr-rgqm-vf78 - CC BY 4.0

Historia podatności: org.springframework:spring-webmvc

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (27) w archiwum
Wszystkich wpisów
27
Pierwsza → ostatnia
10.2018 08.2026
Bez poprawki
0
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 4
  • Wysoka 8
  • Średnia 13
  • Niska 2

Ujawnienia w latach

Istotność:
  1. Spring Framework Server Sent Event stream corruption while rendering fragments
    Krytyczna · 9.8 CVE-2026-47890 >= 6.2.0, <= 6.2.19, >= 7.0.0, < 7.0.9 7.0.9
  2. Spring Framework Improper Path Limitation in XsltView
    Krytyczna · 9.8 CVE-2026-47884 <= 5.2.25.RELEASE, >= 5.3.0, <= 5.3.49, >= 6.0.0, <= 6.0.30, >= 6.1.0, <= 6.1.28, >= 6.2.0, <= 6.2.19, >= 7.0.0, < 7.0.9 7.0.9
  3. Spring Framework Cross-site Scripting via JavaScriptUtils
    Wysoka · 7.1 CVE-2026-41845 >= 7.0.0, < 7.0.8, >= 6.2.0, < 6.2.19, >= 6.1.0, <= 6.1.21, <= 5.3.39 7.0.8, 6.2.19
  4. Spring Framework Denial of Service via Versioned Resources in Spring MVC and WebFlux
    Wysoka · 7.5 CVE-2026-41842 >= 7.0.0, < 7.0.8, >= 6.2.0, < 6.2.19, >= 6.1.0, <= 6.1.21, <= 5.3.39 7.0.8, 6.2.19
  5. Spring Framework Path Traversal vulnerability ten wpis
    Wysoka · 7.5 CVE-2024-38819 >= 6.1.0, < 6.1.14, <= 5.3.40, >= 6.0.0, <= 6.0.24 6.1.14
  6. Path traversal vulnerability in functional web frameworks
    Wysoka · 7.5 CVE-2024-38816 >= 6.1.0, < 6.1.13, >= 6.0.0, <= 6.0.23, >= 5.3.0, <= 5.3.39 6.1.13
  7. Spring Framework vulnerable to denial of service
    Wysoka · 7.5 CVE-2023-34053 >= 6.0.0, < 6.0.14 6.0.14
  8. Spring Framework is vulnerable to security bypass via mvcRequestMatcher pattern mismatch
    Krytyczna · 9.1 CVE-2023-20860 >= 6.0.0, < 6.0.7, >= 5.3.0, < 5.3.26 6.0.7, 5.3.26
  9. Improper Restriction of XML External Entity Reference in Spring Framework
    Wysoka · 8.8 CVE-2014-0225 >= 4.0.0, < 4.0.5, >= 3.0.0, < 3.2.8 4.0.5, 3.2.8
  10. Remote Code Execution in Spring Framework
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2022-22965 < 5.2.20.RELEASE, >= 5.3.0, < 5.3.18 5.2.20.RELEASE, 5.3.18
  11. RFD attack via Content-Disposition header sourced from request input by Spring MVC or Spring WebFlux Application
    Wysoka · 7.5 CVE-2020-5398 >= 5.2.0.RELEASE, < 5.2.3.RELEASE, >= 5.1.0.RELEASE, < 5.1.13.RELEASE, >= 5.0.0.RELEASE, < 5.0.16.RELEASE 5.2.3.RELEASE, 5.1.13.RELEASE, 5.0.16.RELEASE
  12. Pivotal Spring Framework Paths provided to the ResourceServlet were not properly sanitized
    Wysoka · 7.5 CVE-2016-9878 < 3.2.18, >= 4.2.0, < 4.2.9, >= 4.3.0, < 4.3.5 3.2.18, 4.2.9, 4.3.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.