CVE-2025-41234 in Spring Framework
摘要
由 VulDB • 2026-06-16
描述
在 Spring Framework 中，6.0.5 及更高版本的 6.0.x 系列、6.1.x 系列和 6.2.x 系列存在漏洞。当应用程序设置包含非 ASCII 字符集的 “Content-Disposition” 响应头，且文件名属性源自用户提供的输入时，应用程序易受反射文件下载（RFD）攻击的影响。
具体而言，当满足以下所有条件时，应用程序存在漏洞：
* 该响应头是使用 `org.springframework.http.ContentDisposition` 构建的。 * 文件名是通过 `ContentDisposition.Builder#filename(String, Charset)` 设置的。 * 文件名的值源自用户提供的输入。 * 应用程序未对用户提供的输入进行清理（sanitize）。 * 攻击者可以在响应的下载内容中注入恶意命令（有关详细信息，请参阅 RFD 论文参考文献）。
如果满足以下任一条件，则应用程序不存在漏洞：
* 应用程序未设置 “Content-Disposition” 响应头。 * 该响应头不是使用 `org.springframework.http.ContentDisposition` 构建的。 * 文件名是通过以下任一方法设置的： * `ContentDisposition.Builder#filename(String)`，或 * `ContentDisposition.Builder#filename(String, ASCII)` * 文件名并非源自用户提供的输入。 * 文件名源自用户提供的输入，但已由应用程序进行清理。 * 攻击者无法在响应的下载内容中注入恶意内容。
受影响的 Spring 产品及版本 Spring Framework：
* 6.2.0 - 6.2.7 * 6.1.0 - 6.1.20 * 6.0.5 - 6.0.28 * 较旧的、不受支持的版本不受影响
缓解措施受影响版本的用户应升级到相应的修复版本。
| 受影响版本 | 修复版本 | 可用性 | | :--- | :--- | :--- | | 6.2.x | 6.2.8 | OSS | | 6.1.x | 6.1.21 | OSS | | 6.0.x | 6.0.29 | 商业版 https://enterprise.spring.io/ |
无需采取进一步的缓解措施。
VMware Spring Framework 6.0.5 至 6.2.7 版本中 `Content-Disposition` 处理存在 CWE-113 漏洞，远程攻击者可通过 `ContentDisposition.Builder#filename(String, Charset)` 中使用非 ASCII 字符集且未经清理的用户输入，发起反射文件下载（RFD）攻击。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.