描述

Spring Batch Admin 的文件上传功能中存在跨站脚本 (XSS) 漏洞，允许远程攻击者通过与文件上传功能相关的精心设计的请求注入任意 Web 脚本或 HTML。

受影响的 Spring 产品和版本

• Spring Batch Admin 所有版本

缓解措施

受影响版本的用户应采取以下缓解措施

• Spring Batch Admin 已于 2018 年 1 月 1 日达到生命周期结束。建议使用 Spring Cloud Data Flow 作为管理和监控 Spring Batch 作业的替代方案。

鸣谢

Wen Bin Kong 负责任地报告了此漏洞。

参考

• https://docs.springframework.org.cn/spring-batch-admin
• https://github.com/spring-projects/spring-batch-admin/blob/master/MIGRATION.md

历史记录

2018-03-16：发布了最初的漏洞报告。