描述

使用 UriComponentsBuilder 解析外部提供的 URL（例如透過查詢參數）並且對已解析 URL 的主機執行驗證檢查的應用程式，可能容易受到開放重定向攻擊或 SSRF 攻擊，如果在通過驗證檢查後使用該 URL。

這與 CVE-2024-22243 相同，但具有不同的輸入。

受影響的 Spring 產品和版本

Spring Framework

• 6.1.0 - 6.1.4
• 6.0.0 - 6.0.17
• 5.3.0 - 5.3.32
• 較舊、不受支援的版本也受到影響

緩解措施

受影響版本的用戶應升級到相應的修復版本。

貢獻

此問題由 EcoFlow Intelligent terminal department 的 threedr3am 發現並負責地報告。