描述

Spring Batch Admin 的檔案上傳功能中存在跨站指令碼 (XSS) 漏洞，允許遠端攻擊者透過與檔案上傳功能相關的精心設計的請求注入任意 Web 指令碼或 HTML。

受影響的 Spring 產品和版本

• Spring Batch Admin 所有版本

緩解措施

受影響版本的使用者應採取以下緩解措施

• Spring Batch Admin 已於 2018 年 1 月 1 日達到生命週期結束。建議使用 Spring Cloud Data Flow 作為管理和監控 Spring Batch 作業的替代方案。

鳴謝

Wen Bin Kong 負責任地報告了此漏洞。

參考

• https://docs.springframework.tw/spring-batch-admin
• https://github.com/spring-projects/spring-batch-admin/blob/master/MIGRATION.md

歷史記錄

2018-03-16：釋出了最初的漏洞報告。