描述

使用UriComponentsBuilder解析外部提供的 URL（例如，通过查询参数）并且对解析的 URL 的主机执行验证检查的应用程序可能容易受到开放重定向攻击或 SSRF 攻击，如果 URL 在通过验证检查后使用。

这与CVE-2024-22243相同，但输入不同。

受影响的 Spring 产品和版本

Spring Framework

• 6.1.0 - 6.1.4
• 6.0.0 - 6.0.17
• 5.3.0 - 5.3.32
• 较旧的、不受支持的版本也受影响

缓解措施

受影响版本的使用者应升级到相应的修复版本。

致谢

该问题由来自 EcoFlow 智能终端部门的 threedr3am 发现并负责任地报告。