CVE-2015-5211
KrytyczneStreszczenie
Framework Spring w wersjach od 4.2.0 do 4.2.1, 4.0.0 do 4.1.7, 3.2.0 do 3.2.14 oraz starszych, nieobsługiwanych wersjach jest podatny na atak Reflected File Download (RFD). Atak polega na stworzeniu przez złośliwego użytkownika adresu URL z rozszerzeniem skryptu wsadowego, co skutkuje pobraniem odpowiedzi zamiast jej renderowania, a także zawiera pewne dane wejściowe odzwierciedlone w odpowiedzi.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do pobrania złośliwych plików na urządzenia użytkowników, co może prowadzić do infekcji złośliwym oprogramowaniem lub kradzieży danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji frameworka Spring, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Inne podatności w Spring Framework
Zobacz wszystkie- CVE-2014-0225Wysokie
Framework Spring w wersjach od 4.0.0 do 4.0.4 oraz od 3.0.0 do 3.2.8, a także prawdopodobnie wcześniejszych wersjach, nie wyłączał domyślnie rozwiązywania odniesień URI w deklaracji DTD podczas przetwarzania dokumentów XML dostarczonych przez użytkowników. To umożliwia atak XXE.
- CVE-2026-59313Krytyczne
Aplikacje Spring MVC korzystające z funkcjonalnego frameworka webowego są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE). Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30 oraz 5.3.0-5.3.49.
- CVE-2026-59283Krytyczne
Aplikacje, które oceniają wyrażenia Spring Expression Language (SpEL) przy użyciu SimpleEvaluationContext, mogą być podatne na obejście zabezpieczeń, gdy aktywny jest kompilator wyrażeń SpEL. Dotyczy wielu wersji Spring Framework.
- CVE-2026-47892Krytyczne
Aplikacja WebFlux używająca funkcjonalnych endpointów i wdrożona z DispatcherServlet może być podatna na obejście predykatu nagłówka w żądaniu pre-flight. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.5.RELEASE-5.2.25.RELEASE.
- CVE-2026-47891Krytyczne
Aplikacja Spring WebFlux, która używa procesora XML Aalto do parsowania danych XML, nie egzekwuje poprawnie limitu maxInMemorySize. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.
- CVE-2026-47890Krytyczne
Aplikacje Spring MVC i WebFlux są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE) z fragmentami widoków. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8 oraz 6.2.0-6.2.19.
- CVE-2018-15756Wysokie
Spring Framework w wersji 5.1, w wersjach 5.0.x przed 5.0.10, w wersjach 4.3.x przed 4.3.20 oraz starszych nieobsługiwanych wersjach z gałęzi 4.2.x zapewnia obsługę żądań zakresowych przy serwowaniu zasobów statycznych przez ResourceHttpRequestHandler lub, począwszy od wersji 5.0, gdy kontroler z adnotacjami zwraca org.springframework.core.io.Resource. Złośliwy użytkownik (lub atakujący) może dodać nagłówek zakresu z dużą liczbą zakresów lub z szerokimi, nakładającymi się zakresami, lub oba, co prowadzi do ataku typu denial of service. Podatność dotyczy aplikacji korzystających z spring-webmvc lub spring-webflux. Takie aplikacje muszą również mieć rejestrację do serwowania zasobów statycznych (np. JS, CSS, obrazy itp.) lub mieć kontroler z adnotacjami zwracający org.springframework.core.io.Resource. Aplikacje Spring Boot korzystające z spring-boot-starter-web lub spring-boot-starter-webflux są gotowe do serwowania zasobów statycznych od razu i dlatego są podatne.
- CVE-2026-59314Niskie
Aplikacje, które budują wartość nagłówka Content-Disposition z niezaufanych danych wejściowych, mogą być podatne na rozdzielenie odpowiedzi HTTP, gdy dane wejściowe to złośliwa nazwa pliku. Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.
- CVE-2026-59282Wysokie
Aplikacje Spring Framework, które używają infrastruktury wiązania danych do stosowania ścieżek właściwości dostarczanych przez użytkownika na obiekcie docelowym, mogą być podatne na atak typu Denial of Service (DoS).
- CVE-2026-59281Średnie
Aplikacje Spring MVC i WebFlux, które uzyskują instancję Errors z włączonym kodowaniem HTML i renderują błędy pól za pomocą bezargumentowych metod Errors.getFieldErrors() lub Errors.getFieldError(), są podatne na wstrzykiwanie dowolnego kodu HTML/JavaScript, co może prowadzić do odbitego XSS.
Oryginalny opis (angielski, źródło NVD)
Under some situations, the Spring Framework 4.2.0 to 4.2.1, 4.0.0 to 4.1.7, 3.2.0 to 3.2.14 and older unsupported versions is vulnerable to a Reflected File Download (RFD) attack. The attack involves a malicious user crafting a URL with a batch script extension that results in the response being downloaded rather than rendered and also includes some input reflected in the response.