spring框架漏洞整理(Spring Framework漏洞)

spring框架漏洞整理之Spring Framework漏洞(CVE-2015-5211)Spring Framework 内容协商机制(content-negotiation)反射型文件下载(RFD)。
RFD，即 Reflected File Download 反射型文件下载漏洞，是一个 2014 年来自 BlackHat 的漏洞。这个漏洞在原理上类似 XSS，在危害上类似 DDE：攻击者可以通过一个 URL 地址使用户下载一个恶意文件，从而危害用户的终端 PC。
这个漏洞很罕见，大多数公司会认为它是一个需要结合社工的低危漏洞，但微软，雅虎，eBay，PayPal 和其他许多公司认为这是一个中危漏洞。
RFD 漏洞原理见 https://coolshell.me/articles/rfd-bug-reflect-spring-world.html
简单来说有点鸡肋漏洞

Spring Framework漏洞影响范围

Spring Framework 4.2.0 版本至 4.2.1 版本
Spring Framework 4.0.0 版本至 4.1.7 版本
Spring Framework 3.2.0 版本至 3.2.14 版本
Spring Framework 更早的已不再支持的版本
参考链接

https://xz.aliyun.com/t/8341

(CVE-2020-5398)Spring Framework 反射型文件下载(RFD)
同上

Spring Framework漏洞影响范围

Spring Framework 5.2.0 – 5.2.2
Spring Framework 5.1.0 – 5.1.12
Spring Framework 5.0.0 – 5.0.15
(CVE-2020-5421)Spring Framework 反射型文件下载(RFD)
上个