CVE-2018-11040
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 88 - wyżej niż 88% wszystkich znanych CVE
Streszczenie
Spring Framework w wersjach 5.0.x przed 5.0.7 oraz 4.3.x przed 4.3.18 (i starszych niewspieranych) umożliwia aplikacjom webowym włączanie żądań międzydomenowych poprzez JSONP. Dzieje się to przez AbstractJsonpResponseBodyAdvice dla kontrolerów REST oraz MappingJackson2JsonView dla żądań przeglądarki. Domyślnie JSONP nie jest włączone, ale skonfigurowanie MappingJackson2JsonView automatycznie udostępnia obsługę JSONP przez parametry "jsonp" i "callback".
Ocena ryzyka
Może prowadzić do nieautoryzowanego dostępu do danych przez żądania międzydomenowe, co zwiększa ryzyko wycieku informacji lub ataków CSRF. Organizacje używające Spring Framework z włączonym JSONP są narażone na manipulację danymi.
Rekomendacja
Zaktualizuj Spring Framework do wersji 5.0.7 lub 4.3.18 (lub nowszej) i wyłącz obsługę JSONP, jeśli nie jest wymagana. Sprawdź konfigurację MappingJackson2JsonView i AbstractJsonpResponseBodyAdvice.
Inne podatności w Spring Framework
Zobacz wszystkie- CVE-2014-0225Wysokie
Framework Spring w wersjach od 4.0.0 do 4.0.4 oraz od 3.0.0 do 3.2.8, a także prawdopodobnie wcześniejszych wersjach, nie wyłączał domyślnie rozwiązywania odniesień URI w deklaracji DTD podczas przetwarzania dokumentów XML dostarczonych przez użytkowników. To umożliwia atak XXE.
- CVE-2026-59313Krytyczne
Aplikacje Spring MVC korzystające z funkcjonalnego frameworka webowego są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE). Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30 oraz 5.3.0-5.3.49.
- CVE-2026-59283Krytyczne
Aplikacje, które oceniają wyrażenia Spring Expression Language (SpEL) przy użyciu SimpleEvaluationContext, mogą być podatne na obejście zabezpieczeń, gdy aktywny jest kompilator wyrażeń SpEL. Dotyczy wielu wersji Spring Framework.
- CVE-2026-47892Krytyczne
Aplikacja WebFlux używająca funkcjonalnych endpointów i wdrożona z DispatcherServlet może być podatna na obejście predykatu nagłówka w żądaniu pre-flight. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.5.RELEASE-5.2.25.RELEASE.
- CVE-2026-47891Krytyczne
Aplikacja Spring WebFlux, która używa procesora XML Aalto do parsowania danych XML, nie egzekwuje poprawnie limitu maxInMemorySize. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.
- CVE-2026-47890Krytyczne
Aplikacje Spring MVC i WebFlux są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE) z fragmentami widoków. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8 oraz 6.2.0-6.2.19.
- CVE-2022-22968Średnie
W Spring Framework w wersjach 5.3.0-5.3.18, 5.2.0-5.2.20 oraz starszych nieobsługiwanych, wzorce dla disallowedFields na DataBinder są wrażliwe na wielkość liter, co oznacza, że pole nie jest skutecznie chronione, chyba że jest wymienione zarówno z wielką, jak i małą literą dla pierwszego znaku pola, w tym wielką i małą literą dla pierwszego znaku wszystkich zagnieżdżonych pól w ścieżce właściwości.
- CVE-2022-22965KrytyczneAktywnie exploitowane
Aplikacja Spring MVC lub Spring WebFlux uruchomiona na JDK 9+ może być podatna na zdalne wykonanie kodu (RCE) poprzez mechanizm wiązania danych. Exploit wymaga uruchomienia aplikacji na Tomcat jako wdrożenie WAR; aplikacje jako wykonywalny jar Spring Boot nie są podatne na ten konkretny exploit, ale natura podatności jest bardziej ogólna.
- CVE-2022-22950Średnie
W Spring Framework w wersjach 5.3.0 - 5.3.16 oraz starszych nieobsługiwanych wersjach, użytkownik może dostarczyć specjalnie spreparowane wyrażenie SpEL, które może spowodować warunek odmowy usługi.
- CVE-2020-5421Średnie
W Spring Framework w wersjach 5.2.0-5.2.8, 5.1.0-5.1.17, 5.0.0-5.0.18, 4.3.0-4.3.28 oraz starszych nieobsługiwanych, ochrona przed atakami RFD z CVE-2015-5211 może zostać ominięta w zależności od użytej przeglądarki, poprzez użycie parametru ścieżki jsessionid.
Oryginalny opis (angielski, źródło NVD)
Spring Framework, versions 5.0.x prior to 5.0.7 and 4.3.x prior to 4.3.18 and older unsupported versions, allows web applications to enable cross-domain requests via JSONP (JSON with Padding) through AbstractJsonpResponseBodyAdvice for REST controllers and MappingJackson2JsonView for browser requests. Both are not enabled by default in Spring Framework nor Spring Boot, however, when MappingJackson2JsonView is configured in an application, JSONP support is automatically ready to use through the "jsonp" and "callback" JSONP parameters, enabling cross-domain requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS