Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] VMware opravuje zraniteľnosť v Spring Framework

VMware vo verziách 6.2.8, 6.1.21 a 6.0.29 opravuje 1 zraniteľnosť nachádzajúcu sa v Spring Framework [1].

Spring Framework - reflected file download (CVE-2025-41234)
CVSS 6.5 (Medium)

Autentifikovanému vzdialenému útočníkovi je kvôli nesprávnemu spracovaniu hlavičky Content-Disposition pri použití znakovej sady mimo kódovania ASCII a používateľského vstupu bez sanitizácie umožnené vykonať útok typu Reflected File Download (RFD), čo môže viesť k spusteniu škodlivého kódu na strane používateľa po stiahnutí podvrhnutého súboru. Produkt je zraniteľný, ak sú splnené všetky konkrétne podmienky podľa [1].

Zraniteľnosť sa nachádza v produkte:

  • *:Spring Framework; >=6.2.0, <6.2.7; >=6.1.0,<6.1.20; >=6.0.5, <6.0.28

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:L/A:N

Viac informácií:

  • CVE-2025-41234 na cve.org, NVD
  • CWE-113: Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Request/Response Splitting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 6. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 16. 6. 2025.

CESNET, z.s.p.o. Logo