CVE-2015-5211
Publiée le 2017-05-25 · Dernière modification le 2026-06-17
Les applications créées avec des versions affectées du Spring Framework sont vulnérables aux attaques de type Reflected File Download. Un attaquant distant non authentifié peut inciter un utilisateur à cliquer sur un lien spécialement conçu qui force son navigateur à télécharger un fichier de script malveillant au lieu de charger une page web. Si la victime ouvre le fichier téléchargé, l'attaquant peut exécuter du code arbitraire sur la machine locale de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Under some situations, the Spring Framework 4.2.0 to 4.2.1, 4.0.0 to 4.1.7, 3.2.0 to 3.2.14 and older unsupported versions is vulnerable to a Reflected File Download (RFD) attack. The attack involves a malicious user crafting a URL with a batch script extension that results in the response being downloaded rather than rendered and also includes some input reflected in the response.