CVE-2026-59314

Data: 2026-09-03

Severity: Low

CVSS Score: 3.7 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N)

Nota

La severity e il CVSS Score si riferiscono alla vulnerabilità della libreria. Come descritto nella sezione GovWay, la vulnerabilità non si manifesta nel prodotto, poiché GovWay non utilizza la classe ContentDisposition di Spring.

Riferimenti:

Libreria: org.springframework:spring-web (versioni affette: 5.2.25.RELEASE e precedenti, 5.3.0 - 5.3.49, 6.0.0 - 6.0.30, 6.1.0 - 6.1.28, 6.2.0 - 6.2.19, 7.0.0 - 7.0.8)

Descrizione

CWE-113: Improper Neutralization of CRLF Sequences in HTTP Headers (“HTTP Request/Response Splitting”)

Applications that build a Content-Disposition header value from untrusted input may be vulnerable to HTTP response splitting when the input is a malicious file name. Affected versions: Spring Framework 7.0.0 through 7.0.8; 6.2.0 through 6.2.19; 6.1.0 through 6.1.28; 6.0.0 through 6.0.30; 5.3.0 through 5.3.49; 5.2.25.RELEASE and earlier.

GovWay

La classe vulnerabile org.springframework.http.ContentDisposition appartiene al modulo spring-web, incluso nella distribuzione di GovWay, ma non è utilizzata dal prodotto. Di spring-web GovWay impiega unicamente l’utility di decodifica URI UriUtils, l’accesso al contesto applicativo dai servlet delle console (WebApplicationContextUtils) e le costanti di HttpStatus, HttpHeaders e MediaType.

Gli header Content-Disposition gestiti da GovWay - nelle parti dei messaggi MIME/multipart in transito e nei download offerti dalle console - sono costruiti e interpretati con codice proprio e con le API jakarta.mail, indipendenti da Spring. Per questi motivi la vulnerabilità non si manifesta nel prodotto.

Le librerie di Spring Framework vengono comunque aggiornate alla prima versione in rilascio.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4