描述

使用 UriComponentsBuilder 解析外部提供的URL（例如通过查询参数）并对解析URL的主机执行验证检查的应用程序可能容易受到 开放重定向 攻击或SSRF攻击，如果该URL…

描述

Spring Authorization Server版本1.0.0 - 1.0.5、1.1.0 - 1.1.5、1.2.0 - 1.2.2以及旧的不受支持的版本都容易受到针对机密客户端的PKCE降级攻击。

具体来说，当机密客户端使用PKCE进行授权码时，应用程序是脆弱的…

描述

在Spring Security中，版本5.7.x低于5.7.12，5.8.x低于5.8.11，版本6.0.x低于6.0.9，版本6.1.x低于6.1.8，版本6.2.x低于6.2.3，当应用程序直接使用…时，可能容易受到访问控制缺陷的影响。

描述

使用 UriComponentsBuilder 解析外部提供的URL（例如通过查询参数）并对解析URL的主机执行验证检查的应用程序可能容易受到 开放重定向 攻击或SSRF攻击，如果该URL…

描述

使用 UriComponentsBuilder 解析外部提供的URL（例如通过查询参数）并对解析URL的主机执行验证检查的应用程序可能容易受到 开放重定向 攻击或SSRF攻击，如果该URL…

描述

在Spring Security中，版本6.1.x低于6.1.7以及版本6.2.x低于6.2.2，当应用程序直接使用AuthenticationTrustResolver.isFullyAuthenticated(Authentication)方法时，容易受到访问控制缺陷的影响。

…

描述

在Spring Cloud Contract中，版本4.1.x低于4.1.1，版本4.0.x低于4.0.5，以及版本3.1.x低于3.1.10，通过org.springframework.cloud:spring-cloud-contract-shade依赖中的阴影化com.google.guava:guava依赖，测试执行容易受到通过以不安全权限创建的临时目录进行的本地信息泄露。

受影响的 Spring 产品和版本

• Spring Cloud Contract
  • 4.1.0
  • 4.0.0 到 4.0.5
  • 3.1.0 到 3.1.10

缓解措施

将Spring Cloud Contract升级到3.1.10或4.0.5或4.1.1。

受影响版本的用户应采取以下缓解措施。4.1.x用户应升级到4.1.1。4.0.x用户应升级到4.0.5。3.1.x用户应升级到3.1.10。无需其他步骤。已修复此问题的发布版本包括

• Spring Cloud Contract
  • 4.1.1
  • 4.0.5
  • 3.1.10

致谢

此问题由Oddball的Michael Kimball识别并负责任地报告。

参考资料

• https://snyk.io/vuln/SNYK-JAVA-COMGOOGLEGUAVA-1015415
• https://www.cve.org/cverecord?id=CVE-2020-8908
…

描述

在Spring Framework版本6.0.15和6.1.2中，用户可能提供特制的HTTP请求，从而导致拒绝服务（DoS）状况。

具体来说，当以下所有情况都为真时，应用程序是易受攻击的

• 应用程序使用Spring MVC
• Spring Security 6.1.6+ 或 6.2.1+ 在类路径中
…

描述

在Spring Framework版本6.0.0 - 6.0.13中，用户可能提供特制的HTTP请求，从而导致拒绝服务（DoS）状况。

具体来说，当以下所有情况都为真时，应用程序是易受攻击的

• 应用程序使用Spring MVC 或 Spring WebFlux
• io.micrometer:micrometer-core 在类路径中
• 应用程序中配置了ObservationRegistry以记录观测
…

描述

在Reactor Netty HTTP Server中，版本1.1.x低于1.1.13以及版本1.0.x低于1.0.39，用户可能提供特制的HTTP请求，从而导致拒绝服务（DoS）状况。

具体来说，一个应用程序…