Wysoka

Path traversal vulnerability in functional web frameworks

Ujawniono: 13.09.2024
Aktualizacja: 11.10.2026 13:20

Applications serving static resources through the functional web frameworks WebMvc.fn or WebFlux.fn are vulnerable to path traversal attacks. An attacker can craft malicious HTTP requests and obtain any file on the file system that is also accessible to the process in which the Spring application is running.

Specifically, an application is vulnerable when both of the following are true:

the web application uses RouterFunctions to serve static resources
resource handling is explicitly configured with a FileSystemResource location

However, malicious requests are blocked and rejected when any of the following is true:

the Spring Security HTTP Firewall https://docs.spring.io/spring-security/reference/servlet/exploits/firewall.html is in use
the application runs on Tomcat or Jetty

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.springframework:spring-webflux	>= 6.1.0, < 6.1.13, >= 6.0.0, <= 6.0.23, >= 5.3.0, <= 5.3.39	6.1.13
Java / Kotlin (Maven)	org.springframework:spring-webmvc	>= 6.1.0, < 6.1.13, >= 6.0.0, <= 6.0.23, >= 5.3.0, <= 5.3.39	6.1.13

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE): CWE-22
Platforma: Java / Kotlin (Maven)
Paczka: org.springframework:spring-webflux, org.springframework:spring-webmvc
Ujawniono: 13.09.2024
Aktualizacja: 11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-cx7f-g6mp-7hqm - CC BY 4.0

Historia podatności: org.springframework:spring-webflux

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (20) w archiwum

Wszystkich wpisów: 20
Pierwsza → ostatnia: 01.2020 08.2026
Bez poprawki: 1
Wykorzystywana w atakach: 1

Rozkład istotności

Krytyczna 3
Wysoka 4
Średnia 11
Niska 2

Ujawnienia w latach

2020: 2
2021: 0
2022: 1
2023: 0
2024: 2
2025: 0
2026: 15

27.08.2026

Spring Framework Header Predicate Bypass in WebFlux Functional Endpoints

Krytyczna · 9.8 CVE-2026-47892 >= 5.2.5.RELEASE, <= 5.2.25.RELEASE, >= 5.3.0, <= 5.3.49, >= 6.0.0, <= 6.0.30, >= 6.1.0, <= 6.1.28, >= 6.2.0, <= 6.2.19, >= 7.0.0, < 7.0.9 7.0.9
27.08.2026

Spring Framework Server Sent Event stream corruption while rendering fragments

Krytyczna · 9.8 CVE-2026-47890 >= 6.2.0, <= 6.2.19, >= 7.0.0, < 7.0.9 7.0.9
09.06.2026

Spring Framework Denial of Service via Versioned Resources in Spring MVC and WebFlux

Wysoka · 7.5 CVE-2026-41842 >= 7.0.0, < 7.0.8, >= 6.2.0, < 6.2.19, >= 6.1.0, <= 6.1.21, <= 5.3.39 7.0.8, 6.2.19
19.12.2024

Spring Framework Path Traversal vulnerability

Wysoka · 7.5 CVE-2024-38819 >= 6.1.0, < 6.1.14, <= 5.3.40, >= 6.0.0, <= 6.0.24 6.1.14
13.09.2024

Path traversal vulnerability in functional web frameworks ten wpis

Wysoka · 7.5 CVE-2024-38816 >= 6.1.0, < 6.1.13, >= 6.0.0, <= 6.0.23, >= 5.3.0, <= 5.3.39 6.1.13
31.03.2022

Remote Code Execution in Spring Framework

Krytyczna · 9.8 Wykorzystywana w atakach CVE-2022-22965 < 5.2.20.RELEASE, >= 5.3.0, < 5.3.18 5.2.20.RELEASE, 5.3.18
21.01.2020

RFD attack via Content-Disposition header sourced from request input by Spring MVC or Spring WebFlux Application

Wysoka · 7.5 CVE-2020-5398 >= 5.2.0.RELEASE, < 5.2.3.RELEASE, >= 5.1.0.RELEASE, < 5.1.13.RELEASE, >= 5.0.0.RELEASE, < 5.0.16.RELEASE 5.2.3.RELEASE, 5.1.13.RELEASE, 5.0.16.RELEASE

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację