CVE-2011-2894 in SpringSource Spring Security
Resumen
por VulDB • 2026-06-24
Spring Framework 3.0.0 hasta 3.0.5, Spring Security 3.0.0 hasta 3.0.5 y 2.0.0 hasta 2.0.6, y posiblemente otras versiones, deserializan objetos desde fuentes no confiables, lo que permite a atacantes remotos eludir las restricciones de seguridad previstas y ejecutar código no confiable mediante (1) la serialización de una instancia java.lang.Proxy y el uso de InvocationHandler, o (2) el acceso a interfaces AOP internas, como se demuestra con la deserialización de una instancia DefaultListableBeanFactory para ejecutar comandos arbitrarios a través de la clase java.lang.Runtime.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.