CVE-2024-22262
CVE-2024-22262: Parsing degli URL del Framework Spring con Validazione dell'Host
- Pubblicato
- 16 apr 2024
- Aggiornato
- 13 feb 2025
- Assegnazione CNA
- vmware
- Evidenza osservata
- 5 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:NBasso · prossimi 30 giorni
- Percentile
- 66,1%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Le applicazioni che utilizzano `UriComponentsBuilder` per analizzare un URL fornito esternamente (ad esempio tramite un parametro di query) ED eseguono controlli di validazione sull'host dell'URL analizzato possono essere vulnerabili a un attacco di open redirect https://cwe.mitre.org/data/definitions/601.html o a un attacco SSRF se l'URL viene utilizzato dopo aver superato i controlli di validazione. Questo è lo stesso di CVE-2024-22259 https://spring.io/security/cve-2024-22259 e CVE-2024-22243 https://spring.io/security/cve-2024-22243 , ma con un input diverso.
Fonti
1Exploit proof-of-concept per CVE-2024-22262 in applicazioni Spring, con un ambiente Dev Container per l'esplorazione e il test pratico delle vulnerabilità.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.