SecBoard
Zurück zur CVE-Übersicht

CVE-2026-47884

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

0.4%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

Beschreibung

Use of XsltView in a Spring MVC application can result in SSRF and RCE attack if the application has an "/**" mapping that results in view rendering, and where the view name is not explicitly specified. Spring Framework 7.0.0 - 7.0.8 Spring Framework 6.2.0 - 6.2.19 Spring Framework 6.1.0 - 6.1.28 Spring Framework 6.0.0 - 6.0.30 Spring Framework 5.3.0 - 5.3.49 Spring Framework 5.2.25.RELEASE and earlier

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Behobene Versionen

  • 7.0.9
  • 7.0.8.1
  • 6.2.20
  • 6.1.29
  • 6.0.31
  • 5.3.50
  • 5.2.26

Threat-Hunting-Queries

Die Schwachstelle betrifft die Verwendung von XsltView in Spring MVC-Anwendungen, die eine '/**'-Zuordnung haben, die zur View-Darstellung führt, und bei der der View-Name nicht explizit angegeben ist. Die Detektion sollte sich auf ungewöhnliche Prozessausführungen oder Netzwerkverbindungen konzentrieren, die von Spring-Anwendungen ausgehen, insbesondere wenn diese mit der XsltView-Komponente in V

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName has_any ("java.exe", "tomcat.exe", "spring-boot-app.jar")
| where FileName has_any ("cmd.exe", "powershell.exe", "sh", "bash") or ProcessCommandLine has_any ("wget", "curl", "nc", "python", "perl")
| where InitiatingProcessCommandLine has "XsltView" or InitiatingProcessCommandLine has "spring-mvc"
| project TimeGenerated, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, ProcessCommandLine, RemoteIP, RemoteUrl

Splunk SPL

index=* (sourcetype=WinEventLog:Security OR sourcetype=linux_audit OR sourcetype=syslog) 
| (process_name IN ("java.exe", "tomcat.exe", "spring-boot-app.jar") AND parent_process_command_line IN ("*XsltView*", "*spring-mvc*")) 
| (process_name IN ("cmd.exe", "powershell.exe", "sh", "bash") OR command_line IN ("*wget*", "*curl*", "*nc*", "*python*", "*perl*")) 
| table _time, host, process_name, parent_process_command_line, command_line, dest_ip, url

Sigma

title: Spring XsltView SSRF/RCE Attempt
logsource:
  category: process_creation
  product: windows
  service: security
detection:
  selection_parent:
    ParentImage|endswith: 
      - '\java.exe'
      - '\tomcat.exe'
    ParentCommandLine|contains: 
      - 'XsltView'
      - 'spring-mvc'
  selection_child:
    Image|endswith: 
      - '\cmd.exe'
      - '\powershell.exe'
      - '\sh'
      - '\bash'
    CommandLine|contains:
      - 'wget'
      - 'curl'
      - 'nc'
      - 'python'
      - 'perl'
  condition: selection_parent and selection_child
falsepositives:
  - Legitimate administrative scripts or deployments.
level: high

Elastic ES|QL

from process where 
  (process.parent.executable.name in ('java.exe', 'tomcat.exe', 'spring-boot-app.jar') and 
   process.parent.command_line : ('*XsltView*', '*spring-mvc*')) and 
  (process.executable.name in ('cmd.exe', 'powershell.exe', 'sh', 'bash') or 
   process.command_line : ('*wget*', '*curl*', '*nc*', '*python*', '*perl*'))

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Referenzen