There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The JavaScriptUtils.javaScriptEscape method in web/util/JavaScriptUtils.java in Spring MVC in Spring
    Framework before 3.2.2 does not properly escape certain characters, which allows remote attackers to
    conduct cross-site scripting (XSS) attacks via a (1) line separator or (2) paragraph separator Unicode
    character or (3) left or (4) right angle bracket. (CVE-2013-6430)

Spring 开发团队已发现，Spring Framework 中的 XML 外部实体 (XXE) 注入 (CVE-2013-4152 ) 的补丁不完整。

Spring MVC 的 SourceHttpMessageConverter 还处理了用户提供的 XML，未禁用 XML 外部实体也未提供可将其禁用的选项。SourceHttpMessageConverter 已修改以提供选项来控制 XML 外部实体处理，现已默认禁用该处理。

此外，Jon Passki 发现了一个可能的 XSS 漏洞：JavaScriptUtils.javaScriptEscape() 方法未转义 JS 单引号字符串、JS 双引号字符串或 HTML 脚本数据上下文中的所有敏感字符。在大多数情况下，这可导致无法利用的解析错误，但在某些情况下可导致 XSS 漏洞。

據 Spring 開發團隊發現，Spring Framework 中對 XML 外部實體 (XXE) 插入問題的修正 (CVE-2013-4152 ) 不完整。

Spring MVC 的 SourceHttpMessageConverter 也處理了使用者提供的 XML，且若非未停用 XML 外部實體，就是不提供將其停用的選項。SourceHttpMessageConverter 已修改為提供可控制 XML 外部實體處理功能的選項，且現在預設為停用該處理功能。

此外，Jon Passki 發現一個可能的 XSS 弱點：JavaScriptUtils.javaScriptEscape() 方法未逸出 JS 單引號字串、JS 雙引號字串或 HTML 指令碼資料內容中敏感的所有字元。多數情況下這會導致無法惡意利用的剖析錯誤，但在某些情況下可導致一個 XSS 弱點。

Spring 開発チームによって、Spring Framework の XML External Entity（XXE）インジェクション（CVE-2013-4152）の修正が不完全であったことが判明しました。

Spring MVC の SourceHttpMessageConverter はユーザー提供の XML も処理しますが、XML 外部エンティティを無効化せず、当該エンティティを無効化するオプションも提供しませんでした。SourceHttpMessageConverter が、XML 外部エンティティ処理をコントロールするためのオプションを提供するように変更され、その処理はデフォルトで無効化されるようになりました。

また Jon Passki 氏は、潜在的な XSS 脆弱性を発見しました：JavaScriptUtils.javaScriptEscape() メソッドが、JS 一重引用符付き文字列、JS 二重引用符付き文字列、または HTML スクリプトデータコンテキスト内で影響を受けやすい全ての文字をエスケープしませんでした。ほとんどの場合、これは悪用できない解析エラーになりますが、場合によっては XSS 脆弱性につながる可能性があります。

It was discovered by the Spring development team that the fix for the XML External Entity (XXE) Injection (CVE-2013-4152 ) in the Spring Framework was incomplete.

Spring MVC's SourceHttpMessageConverter also processed user provided XML and neither disabled XML external entities nor provided an option to disable them. SourceHttpMessageConverter has been modified to provide an option to control the processing of XML external entities and that processing is now disabled by default.

In addition Jon Passki discovered a possible XSS vulnerability: The JavaScriptUtils.javaScriptEscape() method did not escape all characters that are sensitive within either a JS single quoted string, JS double quoted string, or HTML script data context. In most cases this will result in an unexploitable parse error but in some cases it could result in an XSS vulnerability.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
420556	SCA: security update for org.springframework:spring-web (GHSA-xjrf-8x4f-43h4)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
420556	SCA: security update for org.springframework:spring-web (GHSA-xjrf-8x4f-43h4)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
72412	Debian DSA-2857-1：libspring-java - 多个漏洞	Nessus	Debian Local Security Checks	2014/2/10	2021/1/11	medium
72412	Debian DSA-2857-1：libspring-java - 數個弱點	Nessus	Debian Local Security Checks	2014/2/10	2021/1/11	medium
72412	Debian DSA-2857-1：libspring-java - いくつかの脆弱性	Nessus	Debian Local Security Checks	2014/2/10	2021/1/11	medium
72412	Debian DSA-2857-1 : libspring-java - several vulnerabilities	Nessus	Debian Local Security Checks	2014/2/10	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium