CVE-2025-41234 in Spring Framework
Sumário
de VulDB • 16/06/2026
Descrição
No Spring Framework, nas versões 6.0.x a partir da 6.0.5, bem como nas séries 6.1.x e 6.2.x, uma aplicação está vulnerável a um ataque de Reflected File Download (RFD) quando define o cabeçalho "Content-Disposition" com um charset não ASCII, onde o atributo filename é derivado de entrada fornecida pelo utilizador.
Especificamente, uma aplicação está vulnerável quando todas as seguintes condições são verdadeiras:
* O cabeçalho é preparado utilizando `org.springframework.http.ContentDisposition`. * O nome do ficheiro (filename) é definido através de `ContentDisposition.Builder#filename(String, Charset)`. * O valor para o filename é derivado de entrada fornecida pelo utilizador. * A aplicação não efetua a limpeza (sanitização) da entrada fornecida pelo utilizador. * O conteúdo transferido na resposta é injetado com comandos maliciosos pelo atacante (consulte a referência do artigo sobre RFD para detalhes).
Uma aplicação NÃO está vulnerável se qualquer uma das seguintes condições for verdadeira:
* A aplicação não define o cabeçalho de resposta "Content-Disposition". * O cabeçalho não é preparado utilizando `org.springframework.http.ContentDisposition`. * O nome do ficheiro (filename) é definido através de um dos métodos abaixo indicados: * `ContentDisposition.Builder#filename(String)` ou * `ContentDisposition.Builder#filename(String, ASCII)` * O filename não é derivado de entrada fornecida pelo utilizador. * O filename é derivado de entrada fornecida pelo utilizador, mas a aplicação efetua a sua limpeza (sanitização). * O atacante não consegue injetar conteúdo malicioso no conteúdo transferido da resposta.
Produtos e Versões do Spring AfetadosSpring Framework:
* 6.2.0 - 6.2.7 * 6.1.0 - 6.1.20 * 6.0.5 - 6.0.28 * Versões mais antigas e sem suporte não são afetadas
MitigaçãoOs utilizadores das versões afetadas devem atualizar para a versão corrigida correspondente.
Versão(es) Afetada(s)|Versão Corrigida|Disponibilidade---|---|---6.2.x|6.2.8|OSS6.1.x|6.1.21|OSS6.0.x|6.0.29|Comercial https://enterprise.spring.io/ Não são necessárias etapas adicionais de mitigação.
A CWE-113 no tratamento do `Content-Disposition` nas versões 6.0.5 a 6.2.7 do VMware Spring Framework permite que atacantes remotos lancem ataques Reflected File Download (RFD) através de entrada não sanitizada pelo utilizador em `ContentDisposition.Builder#filename(String, Charset)` com charsets não ASCII.
Once again VulDB remains the best source for vulnerability data.