There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Spring Framework, versions 5.2.x prior to 5.2.3 are vulnerable to CSRF attacks through CORS preflight
    requests that target Spring MVC (spring-webmvc module) or Spring WebFlux (spring-webflux module)
    endpoints. Only non-authenticated endpoints are vulnerable because preflight requests should not include
    credentials and therefore requests should fail authentication. However a notable exception to this are
    Chrome based browsers when using client certificates for authentication since Chrome sends TLS client
    certificates in CORS preflight requests in violation of spec requirements. No HTTP body can be sent or
    received as a result of this attack. (CVE-2020-5397)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 5.2.x 之前的 5.2.3 版 Spring Framework 容易透過以 Spring MVC (spring-webmvc 模組) 或 Spring WebFlux (spring-webflux 模組) 端點為目標的 CORS 預檢要求遭受 CSRF 攻擊。只有未經驗證的端點容易受到影響因為預檢要求不應包含認證因此要求應無法驗證。不過值得注意的例外狀況是使用用戶端憑證進行驗證時的 Chrome 型瀏覽器因為 Chrome 會在 CORS 預檢要求中傳送 TLS 用戶端憑證這違反了規格需求。此攻擊會導致無法傳送或接收任何 HTTP 內文。 (CVE-2020-5397)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 5.2.35.2.x 之前的 Spring Framework 版本  ] 容易受到通过定位于 Spring MVCspring-webmvc 模块或 Spring WebFluxspring-webflux 模块端点的 CORS 预请求的 CSRF 攻击。只有未经认证的端点才容易受到影响因为预检请求不应包含凭据因此请求认证会失败。不过，使用客户端证书进行身份验证时，此情况的一个显着的例外情况是基于 Chrome 的浏览器，因为 Chrome 在违反规范要求的 CORS 预检请求中发送 TLS 客户端证书。受到此攻击的结果是无法发送或接收任何 HTTP 正文。 (CVE-2020-5397)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Spring Framework 5.2.x より前のバージョン [ 5.2.3 は、Spring MVCspring-webmvc モジュールまたは Spring WebFluxspring-webflux モジュールのエンドポイントを標的とする CORS preflight リクエストを介した CSRF 攻撃に脆弱です。プリフライトリクエストに認証情報が含まれるべきではなく、そのためリクエストは認証に失敗するはずであるため、認証されていないエンドポイントのみが脆弱です。Chrome は仕様要件に違反して CORS prefight リクエストで TLS クライアント証明書を送信するため、認証にクライアント証明書を使用する場合、 Chrome ベースのブラウザはこれの注目すべき例外です。この攻撃の結果として、HTTP 本文が送信または受信されなくなります。CVE-2020-5397

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Spring Framework, versions 5.2.x prior to 5.2.3 are vulnerable to CSRF attacks through CORS preflight     requests that target Spring MVC (spring-webmvc module) or Spring WebFlux (spring-webflux module)     endpoints. Only non-authenticated endpoints are vulnerable because preflight requests should not include     credentials and therefore requests should fail authentication. However a notable exception to this are     Chrome based browsers when using client certificates for authentication since Chrome sends TLS client     certificates in CORS preflight requests in violation of spec requirements. No HTTP body can be sent or     received as a result of this attack. (CVE-2020-5397)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
422565	SCA: security update for org.springframework:spring-webflux, org.springframework:spring-webmvc (GHSA-7pm4-g2qj-j85x)	Tenable Cloud Security	SCA Checks	2025/3/28	2026/7/2	medium
422565	SCA: security update for org.springframework:spring-webflux, org.springframework:spring-webmvc (GHSA-7pm4-g2qj-j85x)	Tenable Self-Hosted Container Security	SCA Checks	2025/3/28	2026/7/2	medium
256857	Linux Distros 未修補的弱點：CVE-2020-5397	Nessus	Misc.	2025/8/27	2026/7/12	medium
256857	Linux Distros 未修补的漏洞：CVE-2020-5397	Nessus	Misc.	2025/8/27	2026/7/12	medium
256857	Linux Distros のパッチ未適用の脆弱性: CVE-2020-5397	Nessus	Misc.	2025/8/27	2026/7/12	medium
256857	Linux Distros Unpatched Vulnerability : CVE-2020-5397	Nessus	Misc.	2025/8/27	2026/7/12	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium