Podatności Spring Web Flow
4 znanych podatności CVE w Spring Web Flow, przetłumaczonych i ocenionych.
- CVE-2017-4971Średnie
Wykryto problem w Pivotal Spring Web Flow do wersji 2.4.4. Aplikacje, które nie zmieniają wartości właściwości MvcViewFactoryCreator useSpringBinding (domyślnie wyłączonej, tj. ustawionej na 'false'), mogą być podatne na złośliwe wyrażenia EL w stanach widoku, które przetwarzają submisje formularzy, ale nie mają podrzędnego elementu deklarującego jawne mapowania właściwości danych.
- CVE-2026-40986Średnie
Podatność w Spring Web Flow, gdzie JavaScript RemotingHandler renderuje treść odpowiedzi błędu jako HTML nawet gdy odpowiedź nie jest typu 'text/html'. Może to prowadzić do ataku skryptowego w przeglądarce użytkownika, jeśli odpowiedź błędu zawiera dane odzwierciedlone od atakującego. Dotyczy wersji 4.0.0, 3.0.0-3.0.1, 2.5.0-2.5.1.
- CVE-2026-40985Średnie
Aplikacje konfigurujące WebFlowELExpressionParser są podatne na użycie złośliwych wyrażeń Unified EL. Podatność dotyczy Spring Web Flow w wersjach 4.0.0, 3.0.0-3.0.1 oraz 2.5.0-2.5.1.
- CVE-2017-8039Średnie
Wykryto problem w Pivotal Spring Web Flow do wersji 2.4.5. Aplikacje, które nie zmieniają wartości właściwości MvcViewFactoryCreator useSpringBinding (domyślnie wyłączonej), mogą być podatne na złośliwe wyrażenia EL w stanach widoku przetwarzających submisje formularzy bez jawnego mapowania właściwości danych. Uwaga: problem istnieje z powodu niepełnej poprawki dla CVE-2017-4971.