描述

Spring Batch Admin 不包含跨站請求偽造 (CSRF) 保護，這可能允許攻擊者構造惡意站點來執行對 Spring Batch Admin 的請求。

受影響的 Spring 產品和版本

• Spring Batch Admin 所有版本

緩解措施

受影響版本的使用者應採取以下緩解措施

• Spring Batch Admin 自 2018 年 1 月 1 日起已停止維護。 建議使用 Spring Cloud Data Flow 作為管理和監控 Spring Batch 作業的替代方案。

鳴謝

此漏洞由 Wen Bin Kong 負責任地報告。

參考

• https://docs.springframework.tw/spring-batch-admin
• https://github.com/spring-projects/spring-batch-admin/blob/master/MIGRATION.md

歷史

2018-03-16：釋出初始漏洞報告。