CVE-2018-11039
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 86 - wyżej niż 86% wszystkich znanych CVE
Streszczenie
Spring Framework (wersje 5.0.x przed 5.0.7, 4.3.x przed 4.3.18 i starsze nieobsługiwane) pozwala aplikacjom webowym na zmianę metody HTTP na dowolną metodę (w tym TRACE) za pomocą HiddenHttpMethodFilter w Spring MVC. Jeśli aplikacja ma istniejącą podatność XSS, atakujący może użyć tego filtra do eskalacji do ataku XST (Cross Site Tracing).
Ocena ryzyka
W połączeniu z XSS, atakujący może przechwycić dane uwierzytelniające lub inne wrażliwe informacje przesyłane w nagłówkach HTTP, co może prowadzić do naruszenia bezpieczeństwa sesji.
Rekomendacja
Zaktualizuj Spring Framework do wersji 5.0.7, 4.3.18 lub nowszej, a także rozważ wyłączenie metody TRACE na serwerze.
Inne podatności w Spring Framework
Zobacz wszystkie- CVE-2014-0225Wysokie
Framework Spring w wersjach od 4.0.0 do 4.0.4 oraz od 3.0.0 do 3.2.8, a także prawdopodobnie wcześniejszych wersjach, nie wyłączał domyślnie rozwiązywania odniesień URI w deklaracji DTD podczas przetwarzania dokumentów XML dostarczonych przez użytkowników. To umożliwia atak XXE.
- CVE-2026-59313Krytyczne
Aplikacje Spring MVC korzystające z funkcjonalnego frameworka webowego są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE). Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30 oraz 5.3.0-5.3.49.
- CVE-2026-59283Krytyczne
Aplikacje, które oceniają wyrażenia Spring Expression Language (SpEL) przy użyciu SimpleEvaluationContext, mogą być podatne na obejście zabezpieczeń, gdy aktywny jest kompilator wyrażeń SpEL. Dotyczy wielu wersji Spring Framework.
- CVE-2026-47892Krytyczne
Aplikacja WebFlux używająca funkcjonalnych endpointów i wdrożona z DispatcherServlet może być podatna na obejście predykatu nagłówka w żądaniu pre-flight. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.5.RELEASE-5.2.25.RELEASE.
- CVE-2026-47891Krytyczne
Aplikacja Spring WebFlux, która używa procesora XML Aalto do parsowania danych XML, nie egzekwuje poprawnie limitu maxInMemorySize. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.
- CVE-2026-47890Krytyczne
Aplikacje Spring MVC i WebFlux są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE) z fragmentami widoków. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8 oraz 6.2.0-6.2.19.
- CVE-2022-22968Średnie
W Spring Framework w wersjach 5.3.0-5.3.18, 5.2.0-5.2.20 oraz starszych nieobsługiwanych, wzorce dla disallowedFields na DataBinder są wrażliwe na wielkość liter, co oznacza, że pole nie jest skutecznie chronione, chyba że jest wymienione zarówno z wielką, jak i małą literą dla pierwszego znaku pola, w tym wielką i małą literą dla pierwszego znaku wszystkich zagnieżdżonych pól w ścieżce właściwości.
- CVE-2022-22965KrytyczneAktywnie exploitowane
Aplikacja Spring MVC lub Spring WebFlux uruchomiona na JDK 9+ może być podatna na zdalne wykonanie kodu (RCE) poprzez mechanizm wiązania danych. Exploit wymaga uruchomienia aplikacji na Tomcat jako wdrożenie WAR; aplikacje jako wykonywalny jar Spring Boot nie są podatne na ten konkretny exploit, ale natura podatności jest bardziej ogólna.
- CVE-2022-22950Średnie
W Spring Framework w wersjach 5.3.0 - 5.3.16 oraz starszych nieobsługiwanych wersjach, użytkownik może dostarczyć specjalnie spreparowane wyrażenie SpEL, które może spowodować warunek odmowy usługi.
- CVE-2020-5421Średnie
W Spring Framework w wersjach 5.2.0-5.2.8, 5.1.0-5.1.17, 5.0.0-5.0.18, 4.3.0-4.3.28 oraz starszych nieobsługiwanych, ochrona przed atakami RFD z CVE-2015-5211 może zostać ominięta w zależności od użytej przeglądarki, poprzez użycie parametru ścieżki jsessionid.
Oryginalny opis (angielski, źródło NVD)
Spring Framework (versions 5.0.x prior to 5.0.7, versions 4.3.x prior to 4.3.18, and older unsupported versions) allow web applications to change the HTTP request method to any HTTP method (including TRACE) using the HiddenHttpMethodFilter in Spring MVC. If an application has a pre-existing XSS vulnerability, a malicious user (or attacker) can use this filter to escalate to an XST (Cross Site Tracing) attack.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS