描述

如果應用程式沒有更改 MvcViewFactoryCreator 的 useSpringBinding 屬性的值，且該屬性預設為停用（即設定為 "false"），則在處理表單提交但沒有子元素宣告明確的資料綁定屬性映射的檢視狀態中，可能容易受到惡意 EL 表達式的攻擊。

受影響的 Spring 產品與版本

• Spring Web Flow 2.4.0 至 2.4.4
• 較舊且不受支援的版本也受到影響

緩解措施

受影響版本的用戶應採用以下緩解措施

• 2.4.x 用戶應升級至 2.4.5
• 請注意，一般而言，在檢視狀態中使用明確的資料綁定宣告，以防止表單提交設定目標物件上不應設定的欄位，是一種良好的實踐，並且建議採用。
• 使用 JSF 的 Spring Web Flow 用戶不受此報告影響。

貢獻

此問題由 Gotham Digital Science 的 Stefano Ciccone 發現

參考資料

• https://jira.spring.io/browse/SWF-1700'>https://jira.spring.io/browse/SWF-1700</a>
• commit 57f2cc 在 master 分支上（2.4.5 發布版本）
• commit ec3d54 在 2.5.x 分支上（2.5.RC1 發布版本）

歷史記錄

2017-05-31：發布初始漏洞報告