CVE-2026-59280

Data: 2026-09-03

Severity: Medium

CVSS Score: 4.3 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)

Nota

La severity e il CVSS Score si riferiscono alla vulnerabilità della libreria. Come descritto nella sezione GovWay, la vulnerabilità non si manifesta nel prodotto, poiché GovWay non utilizza l’integrazione FreeMarker di Spring.

Riferimenti:

Libreria: org.springframework:spring-context-support (versioni affette: 5.2.25.RELEASE e precedenti, 5.3.0 - 5.3.49, 6.0.0 - 6.0.30, 6.1.0 - 6.1.28, 6.2.0 - 6.2.19, 7.0.0 - 7.0.8)

Descrizione

CWE-22: Improper Limitation of a Pathname to a Restricted Directory (“Path Traversal”)

Applications using Spring Framework’s FreeMarker integration may be vulnerable to a path traversal attack when a controller returns a view name derived from untrusted input and FreeMarker is configured to resolve templates through SpringTemplateLoader. Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19; 6.1.0 through 6.1.28; 6.0.0 through 6.0.30; 5.3.0 through 5.3.49; 5.2.25.RELEASE and earlier.

GovWay

La classe vulnerabile org.springframework.ui.freemarker.SpringTemplateLoader appartiene al modulo spring-context-support, incluso nella distribuzione di GovWay.

GovWay utilizza FreeMarker come motore di template per le trasformazioni dei messaggi e per la generazione di contenuti dinamici, ma non utilizza l’integrazione FreeMarker di Spring: la configurazione del motore è realizzata con codice proprio (org.openspcoop2.utils.resources.FreemarkerTemplateUtils) e i template vengono risolti da un TemplateLoader proprio (org.openspcoop2.utils.resources.FreemarkerTemplateLoader) che accede unicamente ai template registrati nella configurazione del prodotto, senza risoluzione su filesystem. Le classi SpringTemplateLoader e FreeMarkerConfigurationFactory non sono utilizzate.

Non è inoltre presente la condizione necessaria allo sfruttamento, ovvero la restituzione da parte di un controller di un view name derivato da input non fidato: GovWay non integra Spring MVC e non utilizza le view di Spring. Per questi motivi la vulnerabilità non si manifesta nel prodotto.

Le librerie di Spring Framework vengono comunque aggiornate alla prima versione in rilascio.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4