Plataforma
java
Componente
javasec
Corregido en
3.0.1
Se ha descubierto una vulnerabilidad de Cross-Site Scripting (XSS) en la aplicación springboot-manager, específicamente en la versión 3.0. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos a través de la manipulación del argumento 'name' en el archivo /sysDict/add. La vulnerabilidad ha sido divulgada públicamente y podría ser explotada, afectando la integridad y confidencialidad de los datos del usuario. Se recomienda actualizar a la versión 3.0.1 para solucionar este problema.
La vulnerabilidad XSS en springboot-manager 3.0 permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite una página web vulnerable. Esto puede resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página web o incluso el acceso a información confidencial. Un atacante podría explotar esta vulnerabilidad para realizar ataques de phishing, robar credenciales de usuario o comprometer la seguridad de la aplicación. La exposición de datos sensibles podría tener un impacto significativo en la reputación y la confianza del usuario.
Esta vulnerabilidad ha sido divulgada públicamente el 11 de marzo de 2025, lo que aumenta el riesgo de explotación. Aunque la CVSS score es baja (2.4), la facilidad de explotación y el potencial impacto en la confidencialidad de los datos hacen que sea importante abordar esta vulnerabilidad de manera proactiva. No se ha confirmado la explotación activa en campañas conocidas, pero la disponibilidad de la divulgación pública implica un riesgo significativo. No se ha añadido a KEV.
Organizations utilizing aitangbao springboot-manager version 3.0, particularly those with publicly accessible instances of the /sysDict/add endpoint, are at significant risk. Shared hosting environments where multiple users share the same application instance are also vulnerable.
• java / server:
find / -name "springboot-manager*" -type d -exec grep -i "sysDict/add" {} \;• generic web:
curl -s -X POST -d 'name=<script>alert(1)</script>' http://your-springboot-manager-url/sysDict/add | grep '<script>' disclosure
Estado del Exploit
EPSS
0.09% (25% percentil)
CISA SSVC
Vector CVSS
La solución principal para mitigar esta vulnerabilidad es actualizar a la versión 3.0.1 de springboot-manager, que incluye la corrección para la vulnerabilidad XSS. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el lado del servidor. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones de inyección de scripts. Es crucial revisar y fortalecer las políticas de seguridad de la aplicación para prevenir futuros ataques XSS.
Actualizar springboot-manager a una versión parcheada que solucione la vulnerabilidad de Cross-Site Scripting (XSS). Si no hay una versión parcheada disponible, sanitizar las entradas del usuario en el parámetro 'name' del endpoint /sysDict/add para prevenir la inyección de código malicioso.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-2209 is a cross-site scripting (XSS) vulnerability in aitangbao springboot-manager version 3.0, affecting the /sysDict/add function. Attackers can inject malicious scripts by manipulating the 'name' argument.
Yes, if you are using aitangbao springboot-manager version 3.0 and have not upgraded to 3.0.1, you are vulnerable to this XSS attack.
Upgrade to version 3.0.1. As a temporary workaround, implement input validation and output encoding on the /sysDict/add endpoint.
The vulnerability has been publicly disclosed, increasing the risk of active exploitation. Monitor your systems for suspicious activity.
Due to the vendor's lack of response, a formal advisory may not be available. Monitor security news sources and vulnerability databases for updates.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo pom.xml y te decimos al instante si estás afectado.