Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je pomocí škodlivých HTTP požadavků umožněno získat jakýkoli soubor v souborovém systému, který je přístupný i procesu, v němž je spuštěna aplikace Spring [1].

Zranitelnost se nachází v produktu:

• Spring Framework; >=5.3.0, <=5.3.40; >=6.0.0, <=6.0.24; >=6.1.0, <=6.1.13

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

• CVE-2024-38819 na cve.org, NVD
• CWE-35: Path Traversal: '.../...//' na cwe.mitre.org

Zranitelnost byla veřejně oznámena 17. 11. 2024.

Neautentizovanému vzdálenému útočníkovi je umožněno obejít ochranu některých polí, protože oprava pro CVE-2022-22968 změnila vzory disallowedFields v DataBinder na rozlišování bez ohledu na velikost písmen. Nicméně metoda String.toLowerCase() má některé výjimky závislé na "Locale", což může potenciálně vést k tomu, že některá pole nejsou chráněna podle očekávání [2].

Zranitelnost se nachází v produktu:

• Spring Framework; >=5.3.0, <=5.3.40; >=6.0.0; <=6.0.24; >=6.1.0, <=6.1.13

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Více informací:

• CVE-2024-38820 na cve.org, NVD
• CWE-178: Improper Handling of Case Sensitivity na cwe.mitre.org

Zranitelnost byla veřejně oznámena 17. 11. 2024.

Neautentizovanému vzdálenému útočníkovi je umožněno obejít autorizaci u statických zdrojů ve Spring WebFlux aplikacích, pokud se jedná o WebFlux aplikaci, která používá podporu pro statické zdroje Springu a má na tyto zdroje nastaveno autorizační pravidlo "non-permitAll" [3].

Zranitelnost se nachází v produktu:

• Spring Security; >=5.7.0 ,<=5.7.12; >=5.8.0, <=5.8.14; >=6.0.0; <=6.0.12; >=6.1.0, <=6.1.10; >=6.2.0, <=6.2.6; >=6.3.0, <=6.3.3

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Více informací:

• CVE-2024-38821 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zranitelnost byla veřejně oznámena 25. 10. 2024.