Vulnerabilidad en Description In Spring Framework (CVE-2025-41234)

Description In Spring Framework, versiones 6.0.x a 6.0.5, versiones 6.1.x y 6.2.x, una aplicación es vulnerable a un ataque de descarga de archivo reflejada (RFD) cuando establece un encabezado "Content-Disposition" con un juego de caracteres que no es ASCII, donde el atributo filename se deriva de la entrada proporcionada por el usuario. Específicamente, una aplicación es vulnerable cuando todo lo siguiente es verdadero: * El encabezado se prepara con org.springframework.http.ContentDisposition. * El nombre de archivo se establece mediante ContentDisposition.Builder#filename(String, Charset). * El valor para el nombre de archivo se deriva de la entrada proporcionada por el usuario. * La aplicación no desinfecta la entrada proporcionada por el usuario. * El atacante inyecta el contenido descargado de la respuesta con comandos maliciosos (consulte la referencia del documento RFD para obtener más detalles). Una aplicación no es vulnerable si se cumple alguna de las siguientes condiciones: * La aplicación no establece un encabezado de respuesta "Content-Disposition". * El encabezado no está preparado con org.springframework.http.ContentDisposition. * El nombre del archivo se establece mediante uno de los siguientes métodos: * ContentDisposition.Builder#filename(String) o * ContentDisposition.Builder#filename(String, ASCII). * El nombre del archivo no se deriva de la entrada proporcionada por el usuario. * El nombre del archivo se deriva de la entrada proporcionada por el usuario, pero la aplicación lo desinfecta. * El atacante no puede inyectar contenido malicioso en el contenido descargado de la respuesta. Productos y versiones de Spring afectados Spring Framework: * 6.2.0 - 6.2.7 * 6.1.0 - 6.1.20 * 6.0.5 - 6.0.28 * Las versiones anteriores sin soporte no se ven afectadas Mitigación Los usuarios de las versiones afectadas deben actualizar a la versión corregida correspondiente. Versiones afectadas. Versión corregida. Disponibilidad: 6.2.x6.2.8OSS. 6.1.x6.1.21OSS. 6.0.x6.0.29. Comercial: https://enterprise.spring.io/. No se requieren medidas de mitigación adicionales. El error CWE-113 en la gestión de `Content-Disposition` en VMware Spring Framework, versiones 6.0.5 a 6.2.7, permite a atacantes remotos lanzar ataques de descarga reflejada de archivos (RFD) mediante la entrada de usuario no depurada en `ContentDisposition.Builder#filename(String, Charset)` con conjuntos de caracteres no ASCII.