CVE-2026-59281
NieznaneStreszczenie
Aplikacje Spring MVC i WebFlux, które uzyskują instancję Errors z włączonym kodowaniem HTML i renderują błędy pól za pomocą bezargumentowych metod Errors.getFieldErrors() lub Errors.getFieldError(), są podatne na wstrzykiwanie dowolnego kodu HTML/JavaScript, co może prowadzić do odbitego XSS.
Ocena ryzyka
Atak XSS może pozwolić atakującemu na wykonanie skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych szkodliwych działań.
Rekomendacja
Zaktualizuj Spring Framework do najnowszej wersji z poprawką i upewnij się, że kodowanie HTML jest poprawnie stosowane podczas renderowania błędów.
Oryginalny opis (angielski, źródło NVD)
Spring MVC and WebFlux applications that obtain a data-binding Errors instance with HTML escaping enabled and then render field errors using the no-argument Errors.getFieldErrors() or Errors.getFieldError() accessors are vulnerable to arbitrary HTML/JavaScript code injection, potentially resulting in a reflected cross-site scripting (XSS) vulnerability. Spring Framework 7.0.0 - 7.0.8 Spring Framework 6.2.0 - 6.2.19 Spring Framework 6.1.0 - 6.1.28 Spring Framework 6.0.0 - 6.0.30 Spring Framework 5.3.0 - 5.3.49 Spring Framework 5.2.25.RELEASE and earlier