Zaloguj się
Deutsch English Español Polski
Średnia

Spring Framework DoS with Multipart Temp Files in WebFlux

  • Ujawniono: 29.04.2026
  • Aktualizacja: 11.10.2026 13:20

A WebFlux server application that processes multipart requests creates temp files for parts larger than 10 K. Under some circumstances, temp files may remain not deleted after the request is fully processed. This allows an attacker to consume available disk space.

Older, unsupported versions are also affected.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.springframework:spring-webflux >= 7.0.0, < 7.0.7, >= 6.2.0, < 6.2.18, >= 6.1.0, <= 6.1.26, <= 5.3.47 7.0.7, 6.2.18

Odnośniki

Ocena CVSS 6.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-400
Platforma
Java / Kotlin (Maven)
Paczka
org.springframework:spring-webflux
Ujawniono
29.04.2026
Aktualizacja
11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-5843-p793-ghmm - CC BY 4.0

Historia podatności: org.springframework:spring-webflux

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (20) w archiwum
Wszystkich wpisów
20
Pierwsza → ostatnia
01.2020 08.2026
Bez poprawki
1
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 3
  • Wysoka 4
  • Średnia 11
  • Niska 2

Ujawnienia w latach

Istotność:
  1. Spring Framework Header Predicate Bypass in WebFlux Functional Endpoints
    Krytyczna · 9.8 CVE-2026-47892 >= 5.2.5.RELEASE, <= 5.2.25.RELEASE, >= 5.3.0, <= 5.3.49, >= 6.0.0, <= 6.0.30, >= 6.1.0, <= 6.1.28, >= 6.2.0, <= 6.2.19, >= 7.0.0, < 7.0.9 7.0.9
  2. Spring Framework Server Sent Event stream corruption while rendering fragments
    Krytyczna · 9.8 CVE-2026-47890 >= 6.2.0, <= 6.2.19, >= 7.0.0, < 7.0.9 7.0.9
  3. Spring Framework Denial of Service via Versioned Resources in Spring MVC and WebFlux
    Wysoka · 7.5 CVE-2026-41842 >= 7.0.0, < 7.0.8, >= 6.2.0, < 6.2.19, >= 6.1.0, <= 6.1.21, <= 5.3.39 7.0.8, 6.2.19
  4. Spring Framework DoS with Multipart Temp Files in WebFlux ten wpis
    Średnia · 6.5 CVE-2026-22740 >= 7.0.0, < 7.0.7, >= 6.2.0, < 6.2.18, >= 6.1.0, <= 6.1.26, <= 5.3.47 7.0.7, 6.2.18
  5. Spring Framework Path Traversal vulnerability
    Wysoka · 7.5 CVE-2024-38819 >= 6.1.0, < 6.1.14, <= 5.3.40, >= 6.0.0, <= 6.0.24 6.1.14
  6. Path traversal vulnerability in functional web frameworks
    Wysoka · 7.5 CVE-2024-38816 >= 6.1.0, < 6.1.13, >= 6.0.0, <= 6.0.23, >= 5.3.0, <= 5.3.39 6.1.13
  7. Remote Code Execution in Spring Framework
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2022-22965 < 5.2.20.RELEASE, >= 5.3.0, < 5.3.18 5.2.20.RELEASE, 5.3.18
  8. RFD attack via Content-Disposition header sourced from request input by Spring MVC or Spring WebFlux Application
    Wysoka · 7.5 CVE-2020-5398 >= 5.2.0.RELEASE, < 5.2.3.RELEASE, >= 5.1.0.RELEASE, < 5.1.13.RELEASE, >= 5.0.0.RELEASE, < 5.0.16.RELEASE 5.2.3.RELEASE, 5.1.13.RELEASE, 5.0.16.RELEASE

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.