Spring Framework 路径遍历漏洞CVE-2025-41242

Spring Framework 是一个被广泛应用的开源 Java 企业级应用开发框架，是spring 里面的一个基础开源框架，主要用于javaee的企业开发。

一、基本情况

Spring Framework 中的 spring-beans 模块中的 PathEditor 组件作用明显，用于将字符串形式的路径转换为标准的 java.nio.file.Path 对象。

Spring-beans模块主要负责实现控制反转（IoC）和依赖注入（DI）功能，其管理应用程序中的对象（称为 Bean）的生命周期和依赖关系。

Spring Framework 的 spring-beans 模块是其核心组件之一，因此而言，spring-beans 模块在框架的资源加载和路径处理中扮演重要角色。

栋科技漏洞库关注到 Spring Framework 中的 spring-beans 模块中的路径遍历漏洞，漏洞被追踪为CVE-2025-41242，CVSS 3.1评分5.9。

二、漏洞分析

CVE-2025-41242漏洞是Spring Framework 中的 spring-beans 模块中的 PathEditor 组件中存在的安全漏洞，漏洞源于验证逻辑存在缺陷。

具体而言，CVE-2025-41242漏洞是Spring Framework受影响版本中PathEditor 组件在 setAsText 方法内解析路径时验证逻辑存在的漏洞。

由于代码仅通过 resource.exists() 检查路径是否存在，未能有效区分文件与目录，这使得攻击者在传入一个指向已存在目录的恶意路径时，

使得该检查逻辑会被绕过，导致目录路径被传递给后续资源处理流程，在部署于 WAR 或嵌入式 Servlet 容器的环境下，可引发目录遍历。

因此，该漏洞会因为目录遍历而最终造成服务器敏感信息泄露。

而修复版本中通过在 setAsText 方法内增强校验逻辑，增加了 !resource.isFile() 的判断条件。

此项变更确保了只有当目标资源是文件，或路径本身不存在时，才进行后续的路径规范化处理。

该修复强制要求被处理的资源必须是文件类型，从而有效阻止了将目录作为合法资源进行处理的可能，防止路径遍历漏洞。

三、影响范围

org.springframework:spring-beans < 6.2.10 及以上版本

四、修复建议

org.springframework:spring-beans >= 6.2.10 及以上版本

五、参考链接

管理员已设置登录后刷新可查看