Spring Framework
Уязвимости
65
Эксплуатируемые
1
Макс. CVSS
9.8
Макс. EPSS
0.99677
Распределение по критичности
Критический
5
Высокий
18
Средний
36
Низкий
6
Затронутые диапазоны версий
3.0.0–3.0.53.0.4–3.0.74.2.0–4.3.204.3.0–4.3.144.3.0–4.3.154.3.0–4.3.165.0.0–5.0.165.0.5–5.0.65.1.0–5.1.25.2.0–5.2.155.2.0–5.2.175.2.0–5.2.185.2.0–5.2.215.2.0–5.2.245.2.0–5.2.35.3.0–5.3.265.3.0–5.3.395.3.0–5.3.415.3.0–5.3.496.0.0–6.0.146.2.0–6.2.19< 4.3.16< 4.3.17< 4.3.18
Также сопоставлено как (исходные строки): spring_framework,spring_security,sa-token
Топ уязвимостей
CVE-2023-44794Проблема в Dromara SaToken версии 1.36.0 и ранее позволяет удаленному злоумышленнику повысить привилегии через специально созданную полезную нагрузку в URL.
CVE-2018-1275Spring Framework, версии 5.0 до 5.0.5 и версии 4.3 до 4.3.16 и более старые неподдерживаемые версии, позволяют приложениям предоставлять STOMP через конечные точки WebSocket с простым брокером STOMP в памяти через модуль spring-messaging. Злоумышленник может создать сообщение для брокера, которое может привести к атаке с удаленным выполнением кода. Это CVE устраняет частичное исправление для CVE-2018-1270 в ветке 4.3.x Spring Framework.
CVE-2018-1270Spring Framework, версии 5.0 до 5.0.5 и версии 4.3 до 4.3.15 и более старые неподдерживаемые версии, позволяют приложениям предоставлять STOMP через конечные точки WebSocket с простым брокером STOMP в памяти через модуль spring-messaging. Злоумышленник может создать сообщение для брокера, которое может привести к атаке с удаленным выполнением кода.
CVE-2016-1000027Pivotal Spring Framework до версии 5.3.16 страдает от потенциальной проблемы удаленного выполнения кода (RCE), если используется для десериализации ненадежных данных Java. В зависимости от того, как библиотека реализована в продукте, эта проблема может возникнуть или не возникнуть, и может потребоваться аутентификация. ПРИМЕЧАНИЕ: позиция поставщика заключается в том, что ненадежные данные не являются предполагаемым вариантом использования. Поведение продукта не будет изменено, потому что некоторые пользователи полагаются на десериализацию доверенных данных.
CVE-2015-5211В некоторых ситуациях Spring Framework версий 4.2.0 - 4.2.1, 4.0.0 - 4.1.7, 3.2.0 - 3.2.14 и более старых неподдерживаемых версий уязвим для атаки Reflected File Download (RFD). Атака включает в себя создание злоумышленником URL-адреса с расширением пакетного сценария, который приводит к загрузке ответа, а не к его отображению, а также включает в себя некоторый ввод, отраженный в ответе.
CVE-2014-0225При обработке XML-документов, предоставленных пользователем, Spring Framework 4.0.0 - 4.0.4, 3.0.0 - 3.2.8 и, возможно, более ранние неподдерживаемые версии по умолчанию не отключали разрешение URI-ссылок в объявлении DTD. Это позволило провести атаку XXE.
CVE-2024-22259Приложения, использующие UriComponentsBuilder в Spring Framework для разбора внешне предоставленного URL (например, через параметр запроса) И производящие проверки на хост загруженного URL могут быть уязвимы к атаке открытого перенаправления (open redirect) https://cwe.mitre.org/data/definitions/601.html или к атаке SSRF, если URL используется после проверки валидности.
Это то же самое, что CVE-2024-22243 https://spring.io/security/cve-2024-22243, но с другим вводом.
CVE-2022-22965Приложение Spring MVC или Spring WebFlux, работающее на JDK 9+, может быть уязвимо для удаленного выполнения кода (RCE) через связывание данных. Для конкретного эксплойта требуется, чтобы приложение работало на Tomcat как WAR-развертывание. Если приложение развернуто как исполняемый jar-файл Spring Boot, то есть по умолчанию, оно не уязвимо для эксплойта. Однако природа уязвимости является более общей, и могут быть другие способы ее эксплуатации.
CVE-2020-5398В Spring Framework версий 5.2.x до 5.2.3, версий 5.1.x до 5.1.13 и версий 5.0.x до 5.0.16 приложение уязвимо для атаки отраженной загрузки файлов (RFD), когда оно устанавливает заголовок Content-Disposition в ответе, где атрибут filename получен из предоставленных пользователем входных данных.
CVE-2026-41851Приложения, которые принимают пользовательские выражения в весеннем выражении экспрессионного языка (SpEL), могут быть уязвимы для атаки «отказ в обслуживании» (DoS), если оценка выражения SpEL вызывает безграниченный рост кэша.
Затрагивающие версии:
Весенняя структура 7.0.0-7.0.7; 6.2.0-6.2.18; с 6.1.0 до 6.1.27; 5.3,0-5.3.48.
CVE-2026-41850Приложения, которые оценивают пользовательские выражения языка весеннего экспрессиона (SpEL), уязвимы для алгоритмического отказа в обслуживании (DoS). Обеспечивая специально созданное выражение, злоумышленник может вызвать чрезмерное потребление ресурсов во время оценки, что приводит к деградации или недоступности приложения.
Затрагивающие версии:
Весенняя структура 7.0.0-7.0.7; 6.2.0 - 6.2.18; 6.1.0-6.1.27; 5.3,0-5.3.48.
CVE-2026-41849Существует многократная уязвимость переполнения в логике оценки языка весеннего выражения (SpEL). Агитатор может использовать это, предоставив специально созданное выражение SpEL, которое вызывает чрезмерное потребление ресурсов, что приводит к отказу в обслуживании (DoS).
Затрагивающие версии:
Весенняя кратница с 5.3,0 до 5.3.48.
CVE-2026-41848Приложения могут быть уязвимы для атаки обычного отказа в выдаче экспрессии (ReDoS), если злоумышленник может обеспечить шаблон, который затем прямо или косвенно предоставляется одному из следующих методов в AntPathMatcher: match(Rint, путь струны), matchStart (паттерн струн, путь струны), extractUriTemplateVariables (паттерн струн, путь струны).
Затронутые версии:
Весенняя структура 7.0.0-7.0.7; 6.2.0-6.2.18; 6.1.0-6.1.27; с 5.3.0 до 5.3.48.
CVE-2026-41842Приложения Spring MVC и WebFlux уязвимы для атак Denial of Service (DoS) при разрешении статических ресурсов.
Затрагиваемые версии:
Весенняя кратная связь 7.0.0-7.0.7; 6.2.0 - 6.2.18; 6.1.20-6.1.27; 5.3,0 - 5.3.48.
CVE-2026-41838Идентификационные данные для сеансов WebSocket в модуле весеннего веб-сайта не являются криптографически непредсказуемыми, которые можно использовать в сочетании с неадекватными правилами авторизации.
Затрагиваемые версии:
Весенняя рамка 7.0.0-7.0.7; 6.2.0 - 6.2.18; 6.1.0-6.1.27; 5.3,0 - 5.3.48.
CVE-2024-22233В версиях Spring Framework 6.0.15 и 6.1.2 возможно, что пользователь может предоставить специально подготовленные HTTP-запросы, которые могут вызвать состояние отказа в обслуживании (DoS).
В частности, приложение уязвимо, когда все следующие условия верны:
• приложение использует Spring MVC
• Spring Security 6.1.6+ или 6.2.1+ присутствует в classpath
Обычно приложения Spring Boot требуют зависимости org.springframework.boot:spring-boot-starter-web и org.springframework.boot:spring-boot-starter-security для выполнения всех условий.
CVE-2023-34053В версиях Spring Framework 6.0.0 - 6.0.13 пользователь может предоставить специально подготовленные HTTP-запросы, которые могут вызвать отказ в обслуживании (DoS).
В частности, приложение уязвимо, когда все из следующих условий истинны:
* приложение использует Spring MVC или Spring WebFlux
* io.micrometer:micrometer-core находит на пути классов
* ObservationRegistry настроен в приложении для записи наблюдений
Типично приложения Spring Boot нуждаются в зависимостях org.springframework.boot:spring-boot-actuator для выполнения всех условий.
CVE-2023-20860Spring Framework версии 6.0.0 - 6.0.6 или 5.3.0 - 5.3.25, использующий "**" как шаблон в конфигурации Spring Security с mvcRequestMatcher, создает несоответствие в сопоставлении шаблонов между Spring Security и Spring MVC и потенциальную возможность обхода безопасности.
CVE-2022-22950В Spring Framework версий 5.3.0 - 5.3.16 и более старых неподдерживаемых версиях пользователь может предоставить специально созданное выражение SpEL, которое может вызвать состояние отказа в обслуживании.
CVE-2018-1199Spring Security (Spring Security 4.1.x до 4.1.5, 4.2.x до 4.2.4 и 5.0.x до 5.0.1; и Spring Framework 4.3.x до 4.3.14 и 5.0.x до 5.0.3) не учитывает параметры пути URL при обработке ограничений безопасности. Добавив параметр пути URL со специальными кодировками, злоумышленник может обойти ограничение безопасности. Основной причиной этой проблемы является отсутствие ясности в отношении обработки параметров пути в спецификации Servlet. Некоторые контейнеры Servlet включают параметры пути в значение, возвращаемое для getPathInfo(), а некоторые - нет. Spring Security использует значение, возвращаемое getPathInfo(), как часть процесса сопоставления запросов с ограничениями безопасности. В этой конкретной атаке различные кодировки символов, используемые в параметрах пути, позволяют обойти защищенные URL-адреса статических ресурсов Spring MVC.
CVE-2011-2894Spring Framework 3.0.0 по 3.0.5, Spring Security 3.0.0 по 3.0.5 и 2.0.0 по 2.0.6, и, возможно, другие версии десериализуют объекты из ненадежных источников, что позволяет удаленным злоумышленникам обходить предполагаемые ограничения безопасности и выполнять ненадежный код путем (1) сериализации экземпляра java.lang.Proxy и использования InvocationHandler или (2) доступа к внутренним интерфейсам AOP, как продемонстрировано с использованием десериализации экземпляра DefaultListableBeanFactory для выполнения произвольных команд через класс java.lang.Runtime.
CVE-2018-15801Spring Security версии 5.1.x до 5.1.2 содержат уязвимость обхода авторизации во время проверки издателя JWT. Чтобы быть затронутым, один и тот же закрытый ключ для честного издателя и злоумышленника должен использоваться при подписи JWT. В этом случае злоумышленник может создать подписанные JWT с вредоносным URL-адресом издателя, который может быть предоставлен честному издателю.
CVE-2021-22118В Spring Framework, версии 5.2.x до 5.2.15 и версии 5.3.x до 5.3.7, приложение WebFlux уязвимо для повышения привилегий: (повторно) создав каталог временного хранилища, локально аутентифицированный злоумышленник может читать или изменять файлы, которые были загружены в приложение WebFlux, или перезаписывать произвольные файлы данными многокомпонентного запроса.
CVE-2026-41854Из-за неправильного разбора хоста приложения, которые полагаются на UriComponentsBuilder для разбора и проверки внешней версии URL-струны, могут подвергаться атаке подделки запроса на стороне сервера (SSRF).
Затрагиваемые версии:
Весенняя структура 7.0.0-7.0.7; с 6,2 по 6.2.18.
CVE-2026-22740Приложение сервера WebFlux, которое обрабатывает многочастные запросы, создает временные файлы для частей размером более 10 К. При некоторых обстоятельствах временные файлы могут оставаться не удаленными после того, как запрос будет полностью обработан. Это позволяет злоумышленнику потреблять доступное пространство диска.
Пострадают и более старые, неподдерживаемые версии.