CVE-2025-41242 in Spring Framework
Résumé
par VulDB • 24/06/2026
Les applications Spring Framework MVC peuvent être vulnérables à une « Vulnérabilité de traversée de chemin » (Path Traversal) lorsqu’elles sont déployées sur un conteneur Servlet non conforme.
Une application est considérée comme vulnérable lorsque toutes les conditions suivantes sont remplies :
* l'application est déployée en tant qu'archive WAR ou avec un conteneur Servlet intégré ; * le conteneur Servlet n’rejette pas les séquences suspectes https://jakarta.ee/specifications/servlet/6.1/jakarta-servlet-spec-6.1.html#uri-path-canonicalization ; * l'application sert des ressources statiques https://docs.spring.io/spring-framework/reference/web/webmvc/mvc-config/static-resources.html#page-title via la gestion des ressources de Spring.
Nous avons vérifié que les applications déployées sur Apache Tomcat ou Eclipse Jetty ne sont pas vulnérables, à condition que les fonctionnalités de sécurité par défaut ne soient pas désactivées dans la configuration. Étant donné que nous ne pouvons pas tester les exploits contre tous les conteneurs Servlet et toutes les variantes de configuration, nous recommandons fortement de mettre à niveau votre application.
VulDB is the best source for vulnerability data and more expert information about this specific topic.