Improper Privilege Management in Spring Framework

CAO 7.8CVE-2021-22118 · GHSA-gfwj-fwqj-fp3v · Công bố 27/05/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-22118 là lỗ hổng mức CAO (CVSS 7.8) ảnh hưởng org.springframework:spring-web, commerce guided search (oracle), communications brm - elastic charging engine (oracle).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.38%, cao hơn 32.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 5.2.15, 5.3.7 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.springframework:spring-web Maven	`≥ 5.2.0, < 5.2.15≥ 5.3.0, < 5.3.7`	`5.2.155.3.7`
commerce guided search oracle	`= 11.3.2`	Chưa có bản vá
communications brm - elastic charging engine oracle	`= 12.0.0.3`	Chưa có bản vá
communications cloud native core binding support function oracle	`= 1.9.0`	Chưa có bản vá
communications cloud native core policy oracle	`= 1.14.0`	Chưa có bản vá
communications cloud native core security edge protection proxy oracle	`= 1.6.0`	Chưa có bản vá
communications cloud native core service communication proxy oracle	`= 1.14.0`	Chưa có bản vá
communications cloud native core unified data repository oracle	`= 1.14.0`	Chưa có bản vá
communications diameter intelligence hub oracle	`≥ 8.0.0, ≤ 8.1.0≥ 8.2.0, ≤ 8.2.3`	Chưa có bản vá
communications element manager oracle	`≥ 8.2.0, ≤ 8.2.4.0`	Chưa có bản vá
communications interactive session recorder oracle	`= 6.4`	Chưa có bản vá
communications network integrity oracle	`= 7.3.6`	Chưa có bản vá
communications session report manager oracle	`≥ 8.0.0, ≤ 8.2.4.0`	Chưa có bản vá
communications session route manager oracle	`≥ 8.0.0, ≤ 8.2.4.0`	Chưa có bản vá
communications unified inventory management oracle	`= 7.4.1= 7.4.2= 7.5.0`	Chưa có bản vá
documaker oracle	`≥ 12.6.0, ≤ 12.6.4`	Chưa có bản vá
enterprise data quality oracle	`= 12.2.1.3.0= 12.2.1.4.0`	Chưa có bản vá
financial services analytical applications infrastructure oracle	`≥ 8.0.8, ≤ 8.1.1`	Chưa có bản vá
healthcare data repository oracle	`= 8.1.0`	Chưa có bản vá
insurance policy administration oracle	`≥ 11.0, ≤ 11.3.1`	Chưa có bản vá
insurance rules palette oracle	`= 11.0.2= 11.1.0= 11.2.7= 11.3.0= 11.3.1`	Chưa có bản vá
mysql enterprise monitor oracle	`≤ 8.0.25`	Chưa có bản vá
retail assortment planning oracle	`= 16.0`	Chưa có bản vá
retail customer management and segmentation foundation oracle	`≥ 16.0, ≤ 19.0`	Chưa có bản vá
retail financial integration oracle	`= 14.1.3.2= 15.0.3.1= 16.0.3`	Chưa có bản vá
retail integration bus oracle	`= 14.1.3.2= 15.0.3.1= 16.0.3`	Chưa có bản vá
retail merchandising system oracle	`= 19.0.1`	Chưa có bản vá
retail order broker oracle	`= 16.0`	Chưa có bản vá
retail predictive application server oracle	`= 14.1.3= 15.0.3= 16.0.3`	Chưa có bản vá
utilities testing accelerator oracle	`= 6.0.0.1.1= 6.0.0.2.2= 6.0.0.3.1`	Chưa có bản vá
spring framework vmware	`≥ 5.2.0, < 5.2.15≥ 5.3.0, < 5.3.7`	`5.2.155.3.7`

Mô tả

In Spring Framework, versions 5.2.x prior to 5.2.15 and versions 5.3.x prior to 5.3.7, a WebFlux application is vulnerable to a privilege escalation: by (re)creating the temporary storage directory, a locally authenticated malicious user can read or modify files that have been uploaded to the WebFlux application, or overwrite arbitrary files with multipart request data.

Mô tả của NVD

Tham khảo

nvd.nist.gov/vuln/detail/CVE-2021-22118 · ADVISORY
spring-projects/spring-framework · WEB
spring-projects/spring-framework commit 0d0d75e · WEB
spring-projects/spring-framework commit cce60c4 · WEB
spring-projects/spring-framework · PACKAGE
security.netapp.com/advisory/ntap-20210713-0005 · WEB
spring.io/security/cve-2021-22118 · WEB
tanzu.vmware.com/security/cve-2021-22118 · WEB
oracle.com//security-alerts/cpujul2021.html · WEB
oracle.com/security-alerts/cpuapr2022.html · WEB
oracle.com/security-alerts/cpujan2022.html · WEB

Lỗ hổng khác của org.springframework:spring-web

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí