CVE-2024-38819GHSA-g5vr-rgqm-vf78

org.springframework:spring-webflux: Spring Framework Path Traversal vulnerability

N/A org.springframework:spring-webfluxmavenFrameworks

CVSS

7.5High

ExploitationScanner template publicA Nuclei template detects it. Not in the KEV catalogNuclei

Exploit odds (EPSS)56.0%Chance of exploitation activity in the next 30 days, higher than 99% of CVEs. Scored 23 Oct 2026FIRST EPSS

Fixed in6.1.14Fixed versionGitHub

Published19 Dec 2024Updated 28 Sep 2026CVE List

What fixes it

6.1.14org.springframework:spring-webflux, mavenGitHub<dependency><groupId>org.springframework</groupId><artifactId>spring-webflux</artifactId><version>6.1.14</version></dependency>
6.1.14org.springframework:spring-webmvc, mavenGitHub<dependency><groupId>org.springframework</groupId><artifactId>spring-webmvc</artifactId><version>6.1.14</version></dependency>
6.1.14org.springframework:spring-webflux, MavenOSV<dependency><groupId>org.springframework</groupId><artifactId>spring-webflux</artifactId><version>6.1.14</version></dependency>
6.1.14org.springframework:spring-webmvc, MavenOSV<dependency><groupId>org.springframework</groupId><artifactId>spring-webmvc</artifactId><version>6.1.14</version></dependency>

A fixed version on one release line is not the upgrade target for every line. Check your exact version and any vendor backports.

Public exploit code and templates 1

Scanner templateSpring Framework Path Traversal in Functional Web FrameworksNuclei

Listed so defenders can prioritize. Threatline links to the source and does not host exploit code.

Description

Applications serving static resources through the functional web frameworks WebMvc.fn or WebFlux.fn are vulnerable to path traversal attacks. An attacker can craft malicious HTTP requests and obtain any file on the file system that is also accessible to the process in which the Spring application is running.

Text from CVE List

Affected versions 189

org.springframework:spring-webflux, maven>= 6.1.0, < 6.1.14GitHub
org.springframework:spring-webmvc, maven>= 6.1.0, < 6.1.14GitHub
org.springframework:spring-webflux, maven<= 5.3.40GitHub
org.springframework:spring-webmvc, maven<= 5.3.40GitHub
org.springframework:spring-webflux, maven>= 6.0.0, <= 6.0.24GitHub
org.springframework:spring-webmvc, maven>= 6.0.0, <= 6.0.24GitHub
Spring Frameworkaffected: Spring Framework 5.3.0 - 5.3.40, 6.0.0 - 6.0.24, 6.1.0 - 6.1.13CVE List
org.springframework:spring-webflux, Mavenfrom 6.1.0, fixed in 6.1.14OSV
org.springframework:spring-webflux, Maven6.1.0OSV
org.springframework:spring-webflux, Maven6.1.1OSV
org.springframework:spring-webflux, Maven6.1.10OSV
org.springframework:spring-webflux, Maven6.1.11OSV
org.springframework:spring-webflux, Maven6.1.12OSV
org.springframework:spring-webflux, Maven6.1.13OSV
org.springframework:spring-webflux, Maven6.1.2OSV
org.springframework:spring-webflux, Maven6.1.3OSV
org.springframework:spring-webflux, Maven6.1.4OSV
org.springframework:spring-webflux, Maven6.1.5OSV
org.springframework:spring-webflux, Maven6.1.6OSV
org.springframework:spring-webflux, Maven6.1.7OSV
org.springframework:spring-webflux, Maven6.1.8OSV
org.springframework:spring-webflux, Maven6.1.9OSV
org.springframework:spring-webmvc, Mavenfrom 6.1.0, fixed in 6.1.14OSV
org.springframework:spring-webmvc, Maven6.1.0OSV
org.springframework:spring-webmvc, Maven6.1.1OSV
org.springframework:spring-webmvc, Maven6.1.10OSV
org.springframework:spring-webmvc, Maven6.1.11OSV
org.springframework:spring-webmvc, Maven6.1.12OSV
org.springframework:spring-webmvc, Maven6.1.13OSV
org.springframework:spring-webmvc, Maven6.1.2OSV
org.springframework:spring-webmvc, Maven6.1.3OSV
org.springframework:spring-webmvc, Maven6.1.4OSV
org.springframework:spring-webmvc, Maven6.1.5OSV
org.springframework:spring-webmvc, Maven6.1.6OSV
org.springframework:spring-webmvc, Maven6.1.7OSV
org.springframework:spring-webmvc, Maven6.1.8OSV
org.springframework:spring-webmvc, Maven6.1.9OSV
org.springframework:spring-webflux, Mavenfrom first release, through 5.3.40OSV
org.springframework:spring-webflux, Maven5.0.0.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.1.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.10.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.11.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.12.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.13.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.14.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.15.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.16.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.17.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.18.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.19.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.2.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.20.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.3.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.4.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.5.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.6.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.7.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.8.RELEASEOSV
org.springframework:spring-webflux, Maven5.0.9.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.0.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.1.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.10.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.11.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.12.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.13.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.14.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.15.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.16.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.17.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.18.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.19.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.2.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.20.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.3.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.4.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.5.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.6.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.7.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.8.RELEASEOSV
org.springframework:spring-webflux, Maven5.1.9.RELEASEOSV
org.springframework:spring-webflux, Maven5.2.0.RELEASEOSV
org.springframework:spring-webflux, Maven5.2.1.RELEASEOSV
org.springframework:spring-webflux, Maven5.2.10.RELEASEOSV
org.springframework:spring-webflux, Maven5.2.11.RELEASEOSV
org.springframework:spring-webflux, Maven5.2.12.RELEASEOSV
org.springframework:spring-webflux, Maven5.2.13.RELEASEOSV
org.springframework:spring-webflux, Maven5.2.14.RELEASEOSV
org.springframework:spring-webflux, Maven5.2.15.RELEASEOSV
org.springframework:spring-webmvc, Mavenfrom first release, through 5.3.40OSV
org.springframework:spring-webmvc, Maven1.0OSV
org.springframework:spring-webmvc, Maven1.0-rc1OSV
org.springframework:spring-webmvc, Maven1.0.1OSV
org.springframework:spring-webmvc, Maven1.1OSV
org.springframework:spring-webmvc, Maven1.1-rc1OSV
org.springframework:spring-webmvc, Maven1.1-rc2OSV
org.springframework:spring-webmvc, Maven1.1.1OSV
org.springframework:spring-webmvc, Maven1.1.2OSV
org.springframework:spring-webmvc, Maven1.1.3OSV
org.springframework:spring-webmvc, Maven1.1.4OSV
org.springframework:spring-webmvc, Maven1.1.5OSV
org.springframework:spring-webmvc, Maven1.2OSV
org.springframework:spring-webmvc, Maven1.2-rc1OSV
org.springframework:spring-webmvc, Maven1.2-rc2OSV
org.springframework:spring-webmvc, Maven1.2.1OSV
org.springframework:spring-webmvc, Maven1.2.2OSV
org.springframework:spring-webmvc, Maven1.2.3OSV
org.springframework:spring-webmvc, Maven1.2.4OSV
org.springframework:spring-webmvc, Maven1.2.5OSV
org.springframework:spring-webmvc, Maven1.2.6OSV
org.springframework:spring-webmvc, Maven1.2.7OSV
org.springframework:spring-webmvc, Maven1.2.8OSV
org.springframework:spring-webmvc, Maven1.2.9OSV
org.springframework:spring-webmvc, Maven2.0OSV
org.springframework:spring-webmvc, Maven2.0-m1OSV
org.springframework:spring-webmvc, Maven2.0-m2OSV
org.springframework:spring-webmvc, Maven2.0-m3OSV
org.springframework:spring-webmvc, Maven2.0-m4OSV
org.springframework:spring-webmvc, Maven2.0-m5OSV
org.springframework:spring-webmvc, Maven2.0-rc1OSV
org.springframework:spring-webmvc, Maven2.0-rc2OSV
org.springframework:spring-webmvc, Maven2.0.1OSV
org.springframework:spring-webmvc, Maven2.0.2OSV
org.springframework:spring-webmvc, Maven2.0.3OSV
org.springframework:spring-webmvc, Maven2.0.4OSV
org.springframework:spring-webmvc, Maven2.0.5OSV
org.springframework:spring-webmvc, Maven2.0.6OSV
org.springframework:spring-webmvc, Maven2.0.7OSV
org.springframework:spring-webmvc, Maven2.0.8OSV
org.springframework:spring-webmvc, Maven2.5OSV
org.springframework:spring-webmvc, Maven2.5.1OSV
org.springframework:spring-webmvc, Maven2.5.2OSV
org.springframework:spring-webmvc, Maven2.5.3OSV
org.springframework:spring-webmvc, Maven2.5.4OSV
org.springframework:spring-webmvc, Maven2.5.5OSV
org.springframework:spring-webmvc, Maven2.5.6OSV
org.springframework:spring-webmvc, Maven2.5.6.SEC01OSV
org.springframework:spring-webmvc, Maven2.5.6.SEC02OSV
org.springframework:spring-webmvc, Maven2.5.6.SEC03OSV
org.springframework:spring-webmvc, Maven3.0.0.RELEASEOSV
org.springframework:spring-webflux, Mavenfrom 6.0.0, through 6.0.24OSV
org.springframework:spring-webflux, Maven6.0.0OSV
org.springframework:spring-webflux, Maven6.0.1OSV
org.springframework:spring-webflux, Maven6.0.10OSV
org.springframework:spring-webflux, Maven6.0.11OSV
org.springframework:spring-webflux, Maven6.0.12OSV
org.springframework:spring-webflux, Maven6.0.13OSV
org.springframework:spring-webflux, Maven6.0.14OSV
org.springframework:spring-webflux, Maven6.0.15OSV
org.springframework:spring-webflux, Maven6.0.16OSV
org.springframework:spring-webflux, Maven6.0.17OSV
org.springframework:spring-webflux, Maven6.0.18OSV
org.springframework:spring-webflux, Maven6.0.19OSV
org.springframework:spring-webflux, Maven6.0.2OSV
org.springframework:spring-webflux, Maven6.0.20OSV
org.springframework:spring-webflux, Maven6.0.21OSV
org.springframework:spring-webflux, Maven6.0.22OSV
org.springframework:spring-webflux, Maven6.0.23OSV
org.springframework:spring-webflux, Maven6.0.3OSV
org.springframework:spring-webflux, Maven6.0.4OSV
org.springframework:spring-webflux, Maven6.0.5OSV
org.springframework:spring-webflux, Maven6.0.6OSV
org.springframework:spring-webflux, Maven6.0.7OSV
org.springframework:spring-webflux, Maven6.0.8OSV
org.springframework:spring-webflux, Maven6.0.9OSV
org.springframework:spring-webmvc, Mavenfrom 6.0.0, through 6.0.24OSV
org.springframework:spring-webmvc, Maven6.0.0OSV
org.springframework:spring-webmvc, Maven6.0.1OSV
org.springframework:spring-webmvc, Maven6.0.10OSV
org.springframework:spring-webmvc, Maven6.0.11OSV
org.springframework:spring-webmvc, Maven6.0.12OSV
org.springframework:spring-webmvc, Maven6.0.13OSV
org.springframework:spring-webmvc, Maven6.0.14OSV
org.springframework:spring-webmvc, Maven6.0.15OSV
org.springframework:spring-webmvc, Maven6.0.16OSV
org.springframework:spring-webmvc, Maven6.0.17OSV
org.springframework:spring-webmvc, Maven6.0.18OSV
org.springframework:spring-webmvc, Maven6.0.19OSV
org.springframework:spring-webmvc, Maven6.0.2OSV
org.springframework:spring-webmvc, Maven6.0.20OSV
org.springframework:spring-webmvc, Maven6.0.21OSV
org.springframework:spring-webmvc, Maven6.0.22OSV
org.springframework:spring-webmvc, Maven6.0.23OSV
org.springframework:spring-webmvc, Maven6.0.3OSV
org.springframework:spring-webmvc, Maven6.0.4OSV
org.springframework:spring-webmvc, Maven6.0.5OSV
org.springframework:spring-webmvc, Maven6.0.6OSV
org.springframework:spring-webmvc, Maven6.0.7OSV
org.springframework:spring-webmvc, Maven6.0.8OSV
org.springframework:spring-webmvc, Maven6.0.9OSV