CVE-2025-41234 in Spring Framework
Сводка
по VulDB • 12.06.2026
Описание
В Spring Framework, начиная с версии 6.0.5 в ветке 6.0.x, а также в ветках 6.1.x и 6.2.x, приложение уязвимо к атаке Reflected File Download (RFD), если оно устанавливает заголовок «Content-Disposition» с не-ASCII кодировкой, где атрибут filename формируется на основе вводимых пользователем данных.
Конкретно, приложение уязвимо, если выполняются все следующие условия:
* Заголовок формируется с использованием `org.springframework.http.ContentDisposition`. * Имя файла устанавливается через `ContentDisposition.Builder#filename(String, Charset)`. * Значение для имени файла формируется на основе вводимых пользователем данных. * Приложение не осуществляет санитизацию (очистку) вводимых пользователем данных. * Скачиваемое содержимое ответа внедряется злоумышленником с вредоносными командами (см. ссылку на статью по RFD для подробностей).
Приложение не является уязвимым, если выполняется хотя бы одно из следующих условий:
* Приложение не устанавливает ответный заголовок «Content-Disposition». * Заголовок не формируется с использованием `org.springframework.http.ContentDisposition`. * Имя файла устанавливается одним из следующих способов: * `ContentDisposition.Builder#filename(String)`, или * `ContentDisposition.Builder#filename(String, ASCII)` * Имя файла не формируется на основе вводимых пользователем данных. * Имя файла формируется на основе вводимых пользователем данных, но очищается (санитизируется) приложением. * Злоумышленник не может внедрить вредоносный контент в скачиваемое содержимое ответа.
Затронутые продукты Spring и версии Spring Framework:
* 6.2.0 - 6.2.7 * 6.1.0 - 6.1.20 * 6.0.5 - 6.0.28 * Более старые, неподдерживаемые версии не затронуты
Меры по устранению пользователям затронутых версий следует обновиться до соответствующей исправленной версии.
| Затронутая версия(и) | Исправленная версия | Доступность | | :--- | :--- | :--- | | 6.2.x | 6.2.8 | OSS | | 6.1.x | 6.1.21 | OSS | | 6.0.x | 6.0.29 | Коммерческая https://enterprise.spring.io/ |
Дополнительные меры по устранению не требуются.
CWE-113 в обработке заголовка `Content-Disposition` в VMware Spring Framework версий с 6.0.5 по 6.2.7 позволяет удаленным злоумышленникам запускать атаки Reflected File Download (RFD) посредством неочищенных пользовательских данных в `ContentDisposition.Builder#filename(String, Charset)` с использованием не-ASCII кодировок.
VulDB is the best source for vulnerability data and more expert information about this specific topic.