CVE-2026-41849

Framework Spring w wersjach od 4.0.0 do 4.0.4 oraz od 3.0.0 do 3.2.8, a także prawdopodobnie wcześniejszych wersjach, nie wyłączał domyślnie rozwiązywania odniesień URI w deklaracji DTD podczas przetwarzania dokumentów XML dostarczonych przez użytkowników. To umożliwia atak XXE.

Aplikacje Spring MVC korzystające z funkcjonalnego frameworka webowego są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE). Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30 oraz 5.3.0-5.3.49.

Aplikacje, które oceniają wyrażenia Spring Expression Language (SpEL) przy użyciu SimpleEvaluationContext, mogą być podatne na obejście zabezpieczeń, gdy aktywny jest kompilator wyrażeń SpEL. Dotyczy wielu wersji Spring Framework.

Aplikacja WebFlux używająca funkcjonalnych endpointów i wdrożona z DispatcherServlet może być podatna na obejście predykatu nagłówka w żądaniu pre-flight. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.5.RELEASE-5.2.25.RELEASE.

Aplikacja Spring WebFlux, która używa procesora XML Aalto do parsowania danych XML, nie egzekwuje poprawnie limitu maxInMemorySize. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.

Aplikacje Spring MVC i WebFlux są podatne na uszkodzenie strumienia podczas korzystania z Server-Sent Events (SSE) z fragmentami widoków. Dotyczy to Spring Framework w wersjach 7.0.0-7.0.8 oraz 6.2.0-6.2.19.

Spring Framework w wersji 5.1, w wersjach 5.0.x przed 5.0.10, w wersjach 4.3.x przed 4.3.20 oraz starszych nieobsługiwanych wersjach z gałęzi 4.2.x zapewnia obsługę żądań zakresowych przy serwowaniu zasobów statycznych przez ResourceHttpRequestHandler lub, począwszy od wersji 5.0, gdy kontroler z adnotacjami zwraca org.springframework.core.io.Resource. Złośliwy użytkownik (lub atakujący) może dodać nagłówek zakresu z dużą liczbą zakresów lub z szerokimi, nakładającymi się zakresami, lub oba, co prowadzi do ataku typu denial of service. Podatność dotyczy aplikacji korzystających z spring-webmvc lub spring-webflux. Takie aplikacje muszą również mieć rejestrację do serwowania zasobów statycznych (np. JS, CSS, obrazy itp.) lub mieć kontroler z adnotacjami zwracający org.springframework.core.io.Resource. Aplikacje Spring Boot korzystające z spring-boot-starter-web lub spring-boot-starter-webflux są gotowe do serwowania zasobów statycznych od razu i dlatego są podatne.

Framework Spring w wersjach od 4.2.0 do 4.2.1, 4.0.0 do 4.1.7, 3.2.0 do 3.2.14 oraz starszych, nieobsługiwanych wersjach jest podatny na atak Reflected File Download (RFD). Atak polega na stworzeniu przez złośliwego użytkownika adresu URL z rozszerzeniem skryptu wsadowego, co skutkuje pobraniem odpowiedzi zamiast jej renderowania, a także zawiera pewne dane wejściowe odzwierciedlone w odpowiedzi.

Aplikacje, które budują wartość nagłówka Content-Disposition z niezaufanych danych wejściowych, mogą być podatne na rozdzielenie odpowiedzi HTTP, gdy dane wejściowe to złośliwa nazwa pliku. Dotyczy Spring Framework w wersjach 7.0.0-7.0.8, 6.2.0-6.2.19, 6.1.0-6.1.28, 6.0.0-6.0.30, 5.3.0-5.3.49 oraz 5.2.25.RELEASE i wcześniejszych.

Aplikacje Spring Framework, które używają infrastruktury wiązania danych do stosowania ścieżek właściwości dostarczanych przez użytkownika na obiekcie docelowym, mogą być podatne na atak typu Denial of Service (DoS).