CVE-2018-1270
Spring Framework, versões 5.0 anteriores a 5.0.5 e versões 4.3 anteriores a 4.3.15, bem como versões antigas não suportadas, permitem que aplicações...
- Publicado
- 6 de abr. de 2018
- Atualizado
- 8 de out. de 2026
- Atribuindo CNA
- dell
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAlto · próximos 30 dias
- Percentil
- 99,6%
- Data do modelo
- 12 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Spring Framework, versões 5.0 anteriores a 5.0.5 e versões 4.3 anteriores a 4.3.15, bem como versões antigas não suportadas, permitem que aplicações exponham endpoints STOMP sobre WebSocket com um broker STOMP simples em memória através do módulo spring-messaging. Um usuário malicioso (ou atacante) pode criar uma mensagem para o broker que pode levar a um ataque de execução remota de código.
Fontes
- Spring Messaging Remote Command ExecutionLaboratório
spring/CVE-2018-1270
Spring Messaging Remote Code Execution (CVE-2018-1270)
Vulhub vulnerability labsCondições declaradas
- lab image version: vulhub/spring-messaging:5.0.4(spring/CVE-2018-1270/docker-compose.yml:services.spring.image)
Prova de conceito de exploit para CVE-2018-1270, uma vulnerabilidade de execução remota de código no Spring Framework via injeção de Spring Expression Language (SpEL).
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.