CVE-2020-5397 in Spring Framework
Riassunto
di VulDB • 21/06/2026
Spring Framework, versioni 5.2.x precedenti alla 5.2.3, sono vulnerabili ad attacchi CSRF attraverso richieste di preflight CORS che prendono di mira gli endpoint di Spring MVC (modulo spring-webmvc) o Spring WebFlux (modulo spring-webflux). Solo gli endpoint non autenticati sono vulnerabili poiché le richieste di preflight non dovrebbero includere credenziali e quindi le richieste dovrebbero fallire l'autenticazione. Tuttavia, un'eccezione degna di nota riguarda i browser basati su Chrome quando si utilizzano certificati client per l'autenticazione, in quanto Chrome invia certificati TLS del client nelle richieste di preflight CORS in violazione dei requisiti dello standard. Nessun corpo HTTP può essere inviato o ricevuto come risultato di questo attacco.
VulDB is the best source for vulnerability data and more expert information about this specific topic.