描述

Spring Batch Admin文件上传功能中存在跨站点脚本（XSS）漏洞，允许远程攻击者通过与文件上传功能相关的精心构造的请求注入任意Web脚本或HTML。

受影响的Spring产品和版本

• 所有版本的Spring Batch Admin

缓解措施

受影响版本的使用者应采取以下缓解措施

• Spring Batch Admin已于2018年1月1日停止维护。Spring Cloud Data Flow是未来管理和监控Spring Batch作业的推荐替代方案。

致谢

此漏洞由孔文斌负责报告。

参考

• https://docs.springframework.org.cn/spring-batch-admin
• https://github.com/spring-projects/spring-batch-admin/blob/master/MIGRATION.md

历史

2018-03-16：发布初始漏洞报告。