Alta

Improper Neutralization of Directives in Dynamically Evaluated Code in Spring Framework

Publicada: 17.05.2022
Actualizado: 11.10.2026 12:21

VMware SpringSource Spring Framework before 2.5.6.SEC03, 2.5.7.SR023, and 3.x before 3.0.6, when a container supports Expression Language (EL), evaluates EL expressions in tags twice, which allows remote attackers to obtain sensitive information via a (1) name attribute in a (a) spring:hasBindErrors tag; (2) path attribute in a (b) spring:bind or (c) spring:nestedpath tag; (3) arguments, (4) code, (5) text, (6) var, (7) scope, or (8) message attribute in a (d) spring:message or (e) spring:theme tag; or (9) var, (10) scope, or (11) value attribute in a (f) spring:transform tag, aka "Expression Language Injection."

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.springframework:spring-core	>= 3.0.0, < 3.0.6, < 2.5.6.SEC03, >= 2.5.7.SR0, < 2.5.7.SR023	3.0.6, 2.5.6.SEC03, 2.5.7.SR023

Referencias

Puntuación CVSS -

Debilidad (CWE): -
Plataforma: Java / Kotlin (Maven)
Paquete: org.springframework:spring-core
Publicada: 17.05.2022
Actualizado: 11.10.2026 12:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-wv88-pf73-x22p - CC BY 4.0

Historial de vulnerabilidades: org.springframework:spring-core

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (19) en el archivo

Entradas en total: 19
Primera → última: 10.2018 06.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 8
Media 10
Baja 1

Divulgaciones por año

2018: 9
2019: 0
2020: 1
2021: 0
2022: 6
2023: 0
2024: 1
2025: 1
2026: 1

16.09.2025

Spring Framework annotation detection mechanism may result in improper authorization

Alta · 7.5 CVE-2025-41249 >= 5.3.0, <= 5.3.44, >= 6.0.0, <= 6.1.22, >= 6.2.0, < 6.2.11 6.2.11
22.01.2024

Spring Framework server Web DoS Vulnerability

Alta · 7.5 CVE-2024-22233 >= 6.1.2, < 6.1.3, >= 6.0.15, < 6.0.16 6.1.3, 6.0.16
17.05.2022

Improper Neutralization of Directives in Dynamically Evaluated Code in Spring Framework esta entrada

Alta CVE-2011-2730 >= 3.0.0, < 3.0.6, < 2.5.6.SEC03, >= 2.5.7.SR0, < 2.5.7.SR023 3.0.6, 2.5.6.SEC03, 2.5.7.SR023
15.06.2020

Denial of Service in Spring Framework

Alta · 7.5 CVE-2018-15756 >= 5.1.0.RELEASE, < 5.1.1.RELEASE, >= 5.0.0.RELEASE, < 5.0.10.RELEASE, >= 4.2.0.RELEASE, < 4.3.20.RELEASE 5.1.1.RELEASE, 5.0.10.RELEASE, 4.3.20.RELEASE
17.10.2018

Spring Security and Spring Framework may not recognize certain paths that should be protected

Alta · 7.5 CVE-2016-5007 < 4.3.1 4.3.1
17.10.2018

Files or Directories Accessible to External Parties in org.springframework:spring-core

Alta · 8.6 CVE-2015-5211 >= 4.2.0, < 4.2.2, >= 4.0.0, < 4.1.8, < 3.2.15 4.2.2, 4.1.8, 3.2.15
17.10.2018

Possible privilege escalation in org.springframework:spring-core

Alta · 7.5 CVE-2018-1272 < 4.3.15, >= 5.0.0, < 5.0.5 4.3.15, 5.0.5
17.10.2018

Spring Framework when used in combination with any versions of Spring Security contains an authorization bypass

Alta · 8.8 CVE-2018-1258 >= 5.0.5.RELEASE, < 5.0.6.RELEASE 5.0.6.RELEASE

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación