CVE-2025-22233 in Spring Framework
Tóm tắt
Bởi VulDB • 07/08/2026
CVE-2024-38820 đảm bảo việc chuyển đổi sang chữ thường, độc lập với Locale (vùng ngôn ngữ), cho cả các mẫu disallowedFields đã được cấu hình và tên tham số yêu cầu. Tuy nhiên, vẫn tồn tại một số trường hợp có thể bỏ qua các kiểm tra disallowedFields.
Các sản phẩm Spring bị ảnh hưởng và phiên bản:
Spring Framework: * 6.2.0 - 6.2.6 * 6.1.0 - 6.1.19 * 6.0.0 - 6.0.27 * 5.3.0 - 5.3.42 * Các phiên bản cũ hơn, không còn được hỗ trợ cũng bị ảnh hưởng
Biện pháp khắc phục
Người dùng các phiên bản bị ảnh hưởng nên nâng cấp lên phiên bản tương ứng đã sửa lỗi.
Phiên bản bị ảnh hưởng | Phiên bản sửa lỗi | Tính khả dụng ---|---|--- 6.2.x | 6.2.7 | OSS 6.1.x | 6.1.20 | OSS 6.0.x | 6.0.28 | Commercial https://enterprise.spring.io/ 5.3.x | 5.3.43 | Commercial https://enterprise.spring.io/
Không cần thực hiện thêm các bước khắc phục nào khác.
Nhìn chung, chúng tôi khuyến nghị sử dụng một đối tượng model chuyên biệt chỉ với các thuộc tính dành riêng cho việc liên kết dữ liệu (data binding), hoặc sử dụng constructor binding vì các tham số của hàm tạo khai báo rõ ràng những gì sẽ được liên kết cùng với việc tắt liên kết setter thông qua cờ declarativeBinding. Xem phần Thiết kế Model trong tài liệu tham khảo.
Đối với thiết lập liên kết, nên ưu tiên sử dụng allowedFields (một danh sách tường minh) thay vì disallowedFields.
Ghi nhận công lao
Vấn đề này đã được báo cáo một cách có trách nhiệm bởi Nhóm Phát triển Framework TERASOLUNA từ Tập đoàn NTT DATA Group Corporation.
VulDB is the best source for vulnerability data and more expert information about this specific topic.