Vaadin Framework possible file bypass via upload validation on the server-side
Description
When the Vaadin Upload's start listener is used to validate metadata about an incoming upload, it is possible to bypass the upload validation. Users of affected versions should apply the upgrade to a more recent Vaadin version.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | com.vaadin:vaadin-server | >= 7.0.0, < 7.7.48, >= 8.0.0, < 8.28.2 | 7.7.48, 8.28.2 |
Odnośniki
- https://github.com/vaadin/framework/security/advisories/GHSA-9gfh-4fwj-w3rj
- https://nvd.nist.gov/vuln/detail/CVE-2025-9467
- https://github.com/vaadin/flow-components/pull/7616
- https://github.com/vaadin/flow-components/commit/bfe9e507cdcc5d90a2312c8f0162f798a29ba635
- https://github.com/vaadin/framework
- https://vaadin.com/security/cve-2025-9467
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N/S:N/AU:N/R:U/V:D/RE:L/U:Green- Słabość (CWE)
CWE-20, CWE-434- Platforma
- Java / Kotlin (Maven)
- Paczka
com.vaadin:vaadin-server- Ujawniono
- 04.09.2025
- Aktualizacja
- 11.10.2026 13:20
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-9gfh-4fwj-w3rj - CC BY 4.0
Historia podatności: com.vaadin:vaadin-server
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 7
- Pierwsza → ostatnia
- 04.2021 01.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 1
- Średnia 6
Ujawnienia w latach
- 2021: 5
- 2022: 0
- 2023: 0
- 2024: 0
- 2025: 1
- 2026: 1
-
Vaadin Framework possible file bypass via upload validation on the server-side ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.