CVE-2025-41234

Açıklama Spring Framework'ün 6.0.5 dahil 6.0.x sürümleri ile 6.1.x ve 6.2.x sürümlerinde bir uygulama, dosya adı özniteliğinin kullanıcı tarafından sağlanan girdiden türetildiği ve ASCII dışı bir karakter setiyle "Content-Disposition" üst bilgisi ayarlandığı durumlarda yansıtılmış dosya indirme (reflected file download - RFD) saldırısına karşı savunmasızdır. Özellikle, aşağıdaki durumların tamamı geçerli olduğunda uygulama savunmasız hale gelir: * Üst bilgi org.springframework.http.ContentDisposition ile hazırlanmışsa. * Dosya adı ContentDisposition.Builder#filename(String, Charset) aracılığıyla ayarlanmışsa. * Dosya adı değeri kullanıcı tarafından sağlanan girdiden türetilmişse. * Uygulama, kullanıcı tarafından sağlanan girdiyi temizlemiyorsa (sanitize etmiyorsa). * Yanıtın indirilen içeriğine saldırgan tarafından kötü amaçlı komutlar enjekte edilmişse (ayrıntılar için RFD makalesi referansına bakınız). Aşağıdakilerden herhangi biri doğruysa uygulama savunmasız değildir: * Uygulama bir "Content-Disposition" yanıt üst bilgisi ayarlamıyorsa. * Üst bilgi org.springframework.http.ContentDisposition ile hazırlanmamışsa. * Dosya adı şunlardan biri aracılığıyla ayarlanmışsa: * ContentDisposition.Builder#filename(String) veya * ContentDisposition.Builder#filename(String, ASCII) * Dosya adı kullanıcı tarafından sağlanan girdiden türetilmemişse. * Dosya adı kullanıcı tarafından sağlanan girdiden türetilmiş ancak uygulama tarafından temizlenmişse. * Saldırgan, yanıtın indirilen içeriğine kötü amaçlı içerik enjekte edemiyorsa. Etkilenen Spring Ürünleri ve Sürümleri Spring Framework: * 6.2.0 - 6.2.7 * 6.1.0 - 6.1.20 * 6.0.5 - 6.0.28 * Daha eski, desteklenmeyen sürümler etkilenmemiştir. Azaltma Etkilenen sürümlerin kullanıcıları ilgili düzeltilmiş sürüme yükseltmelidir. Etkilenen sürüm(ler) | Düzeltme sürümü | Kullanılabilirlik 6.2.x | 6.2.8 | OSS 6.1.x | 6.1.21 | OSS 6.0.x | 6.0.29 | Ticari https://enterprise.spring.io/ Başka bir azaltma adımı gerekmemektedir. VMware Spring Framework 6.0.5 ile 6.2.7 arasındaki sürümlerde `Content-Disposition` işlemedeki CWE-113, uzak saldırganların `ContentDisposition.Builder#filename(String, Charset)` fonksiyonundaki ASCII dışı karakter setleri ile temizlenmemiş kullanıcı girdileri üzerinden Yansıtılmış Dosya İndirme (RFD) saldırıları başlatmasına olanak tanır.