CVE-2017-4971

总结

在 Pivotal Spring Web Flow 至 2.4.4 版本中发现了一个问题。未更改 MvcViewFactoryCreator 的 useSpringBinding 属性值（该属性默认处于禁用状态，即设置为 'false'）的应用程序，可能容易受到视图状态中恶意 EL 表达式的影响，这些视图状态处理表单提交，但没有用于声明显式数据绑定属性映射的子元素。

• cve-2017-4971PoC

  基于 Docker 的漏洞环境，用于 CVE-2017-4971（Spring WebFlow RCE），可在受控实验环境中练习漏洞利用与安全测试。