CVE-2022-22968
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
W Spring Framework w wersjach 5.3.0-5.3.18, 5.2.0-5.2.20 oraz starszych nieobsługiwanych, wzorce dla disallowedFields na DataBinder są wrażliwe na wielkość liter, co oznacza, że pole nie jest skutecznie chronione, chyba że jest wymienione zarówno z wielką, jak i małą literą dla pierwszego znaku pola, w tym wielką i małą literą dla pierwszego znaku wszystkich zagnieżdżonych pól w ścieżce właściwości.
Ocena ryzyka
Nieskuteczna ochrona pól może umożliwić atakującemu modyfikację niedozwolonych pól, co może prowadzić do nieautoryzowanej zmiany danych lub obejścia kontroli bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Spring Framework do wersji zawierającej poprawkę oraz jawne wymienienie pól w disallowedFields z uwzględnieniem wielkości liter.
Inne podatności w Spring Framework
Zobacz wszystkie- CVE-2014-0225Wysokie
Framework Spring w wersjach od 4.0.0 do 4.0.4 oraz od 3.0.0 do 3.2.8, a także prawdopodobnie wcześniejszych wersjach, nie wyłączał domyślnie rozwiązywania odniesień URI w deklaracji DTD podczas przetwarzania dokumentów XML dostarczonych przez użytkowników. To umożliwia atak XXE.
- CVE-2026-59313Krytyczne
Aplikacje Spring MVC korzystające z funkcjonalnego frameworka webowego są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE). Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30 oraz 5.3.0-5.3.49.
- CVE-2026-59283Krytyczne
Aplikacje, które oceniają wyrażenia Spring Expression Language (SpEL) przy użyciu SimpleEvaluationContext, mogą być podatne na obejście zabezpieczeń, gdy aktywny jest kompilator wyrażeń SpEL. Dotyczy wielu wersji Spring Framework.
- CVE-2026-47892Krytyczne
Aplikacja WebFlux używająca funkcjonalnych endpointów i wdrożona z DispatcherServlet może być podatna na obejście predykatu nagłówka w żądaniu pre-flight. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.5.RELEASE-5.2.25.RELEASE.
- CVE-2026-47891Krytyczne
Aplikacja Spring WebFlux, która używa procesora XML Aalto do parsowania danych XML, nie egzekwuje poprawnie limitu maxInMemorySize. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.
- CVE-2026-47890Krytyczne
Aplikacje Spring MVC i WebFlux są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE) z fragmentami widoków. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8 oraz 6.2.0-6.2.19.
- CVE-2022-22965KrytyczneAktywnie exploitowane
Aplikacja Spring MVC lub Spring WebFlux uruchomiona na JDK 9+ może być podatna na zdalne wykonanie kodu (RCE) poprzez mechanizm wiązania danych. Exploit wymaga uruchomienia aplikacji na Tomcat jako wdrożenie WAR; aplikacje jako wykonywalny jar Spring Boot nie są podatne na ten konkretny exploit, ale natura podatności jest bardziej ogólna.
- CVE-2022-22950Średnie
W Spring Framework w wersjach 5.3.0 - 5.3.16 oraz starszych nieobsługiwanych wersjach, użytkownik może dostarczyć specjalnie spreparowane wyrażenie SpEL, które może spowodować warunek odmowy usługi.
- CVE-2020-5421Średnie
W Spring Framework w wersjach 5.2.0-5.2.8, 5.1.0-5.1.17, 5.0.0-5.0.18, 4.3.0-4.3.28 oraz starszych nieobsługiwanych, ochrona przed atakami RFD z CVE-2015-5211 może zostać ominięta w zależności od użytej przeglądarki, poprzez użycie parametru ścieżki jsessionid.
- CVE-2020-5398Wysokie
Spring Framework w wersjach 5.2.x przed 5.2.3, 5.1.x przed 5.1.13 i 5.0.x przed 5.0.16 jest podatny na atak typu reflected file download (RFD), gdy ustawia nagłówek Content-Disposition w odpowiedzi, a atrybut filename pochodzi z danych dostarczonych przez użytkownika.
Oryginalny opis (angielski, źródło NVD)
In Spring Framework versions 5.3.0 - 5.3.18, 5.2.0 - 5.2.20, and older unsupported versions, the patterns for disallowedFields on a DataBinder are case sensitive which means a field is not effectively protected unless it is listed with both upper and lower case for the first character of the field, including upper and lower case for the first character of all nested fields within the property path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS