SourceHttpMessageConverter в Spring MVC в Spring Framework до 3.2.5 и 4.0.0.M1 - 4.0.0.RC1 не отключает разрешение внешних сущностей, что п…

SourceHttpMessageConverter в Spring MVC в Spring Framework до 3.2.5 и 4.0.0.M1 - 4.0.0.RC1 не отключает разрешение внешних сущностей, что позволяет удаленным злоумышленникам читать произвольные файлы, вызывать отказ в обслуживании и проводить атаки CSRF через специально созданный XML, также известный как проблема XML External Entity (XXE), и это другая уязвимость, отличная от CVE-2013-4152 и CVE-2013-7315.