Zaloguj się
Deutsch English Español Polski
Średnia

Moderate severity vulnerability that affects org.springframework.boot:spring-boot

  • Ujawniono: 18.10.2018
  • Aktualizacja: 11.10.2026 11:20

Spring Boot supports an embedded launch script that can be used to easily run the application as a systemd or init.d linux service. The script included with Spring Boot 1.5.9 and earlier and 2.0.0.M1 through 2.0.0.M7 is susceptible to a symlink attack which allows the "run_user" to overwrite and take ownership of any file on the same system. In order to instigate the attack, the application must be installed as a service and the "run_user" requires shell access to the server. Spring Boot application that are not installed as a service, or are not using the embedded launch script are not susceptible.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.springframework.boot:spring-boot >= 1.5.0, < 1.5.10 1.5.10

Odnośniki

Ocena CVSS 5.9/10
Wektor CVSS
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Słabość (CWE)
CWE-59
Platforma
Java / Kotlin (Maven)
Paczka
org.springframework.boot:spring-boot
Ujawniono
18.10.2018
Aktualizacja
11.10.2026 11:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-xx65-cc7g-9pfp - CC BY 4.0

Historia podatności: org.springframework.boot:spring-boot

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów
5
Pierwsza → ostatnia
10.2018 04.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 3
  • Średnia 1

Ujawnienia w latach

  1. Spring Boot accepts predictable temp directory without ownership verification
    Wysoka · 7.0 CVE-2026-40973 >= 4.0.0, < 4.0.6, >= 3.5.0, < 3.5.14, >= 3.4.0, <= 3.4.15, >= 3.3.0, <= 3.3.18, <= 2.7.32 4.0.6, 3.5.14
  2. Spring Boot's default security filter chain has no authorization rule with Actuator but without Health
    Krytyczna · 9.1 CVE-2026-40976 >= 4.0.0, < 4.0.6 4.0.6
  3. Spring Boot EndpointRequest.to() creates wrong matcher if actuator endpoint is not exposed
    Wysoka · 7.3 CVE-2025-22235 <= 2.7.24.2, >= 3.1.0, <= 3.1.15.2, >= 3.2.0, <= 3.2.13.2, >= 3.3.0, < 3.3.11, >= 3.4.0, < 3.4.5 3.3.11, 3.4.5
  4. Temporary Directory Hijacking to Local Privilege Escalation Vulnerability in org.springframework.boot:spring-boot
    Wysoka · 7.8 CVE-2022-27772 < 2.2.11.RELEASE 2.2.11.RELEASE
  5. Moderate severity vulnerability that affects org.springframework.boot:spring-boot ten wpis
    Średnia · 5.9 CVE-2018-1196 >= 1.5.0, < 1.5.10 1.5.10

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.