远程主机上安装的 Spring Framework 版本为低于 5.3.49 的 5.3.x、低于 6.1.28 的 6.1.x、低于 6.2.18.1 的 6.2.x 或低于 7.0.7.1 的 7.0.x。因此，该应用程序受到多个漏洞的影响：

  - spring-websocket 模块中 WebSocket 会话的 ID 在密码学上并非不可预测，可能结合不充分的授权规则来利用此问题。（CVE-2026-41838）

  - 如果攻击者能够提供模式，然后直接或间接提供给 AntPathMatcher 中的下列方法之一，则应用程序可能容易遭受正则表达式拒绝服务 （ReDoS） 攻击：
    match、matchStart、extractUriTemplateVariables。（CVE-2026-41848）

  - 在不受信任的 JMS 环境中，org.springframework.jms.support.converter.MappingJackson2MessageConverter 和 org.springframework.jms.support.converter.JacksonJsonMessageConverter 允许任意类实例化，这可通过小工具类反序列化导致未经授权的操作。（CVE-2026-41855）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Spring Framework 5.3.x < 5.3.49 / 6.1.x < 6.1.28 / 6.2.x < 6.2.18.1 / 7.0.x < 7.0.7.1 多种漏洞

high Nessus 插件 ID 320777

版本 1.1