All vulnerabilities
CVE-2026-47884GHSA-pc63-qcmh-9cmg

org.springframework:spring-webmvc: Spring Framework Improper Path Limitation in XsltView

Spring org.springframework:spring-webmvcmavenFrameworks
Open in ThreatlineRecord JSON
CVSS
9.8Critical
ExploitationNo known exploitationNot in CISA KEV, which does not prove it is unexploitedCISA KEV
Exploit odds (EPSS)0.60%Chance of exploitation activity in the next 30 days, higher than 48% of CVEs. Scored 23 Oct 2026FIRST EPSS
Fixed in7.0.9Fixed versionGitHub
Published27 Aug 2026Updated 5 Oct 2026CVE List

What fixes it

  • 7.0.9org.springframework:spring-webmvc, mavenGitHub<dependency><groupId>org.springframework</groupId><artifactId>spring-webmvc</artifactId><version>7.0.9</version></dependency>
  • 7.0.9org.springframework:spring-webmvc, MavenOSV<dependency><groupId>org.springframework</groupId><artifactId>spring-webmvc</artifactId><version>7.0.9</version></dependency>

A fixed version on one release line is not the upgrade target for every line. Check your exact version and any vendor backports.

Description

Use of XsltView in a Spring MVC application can result in SSRF and RCE attack if the application has an "/**" mapping that results in view rendering, and where the view name is not explicitly specified. Spring Framework 7.0.0 - 7.0.8 Spring Framework 6.2.0 - 6.2.19 Spring Framework 6.1.0 - 6.1.28 Spring Framework 6.0.0 - 6.0.30 Spring Framework 5.3.0 - 5.3.49 Spring Framework 5.2.25.RELEASE and earlier

Text from GitHub Advisory Database

Affected versions 183

  • org.springframework:spring-webmvc, maven<= 5.2.25.RELEASEGitHub
  • org.springframework:spring-webmvc, maven>= 5.3.0, <= 5.3.49GitHub
  • org.springframework:spring-webmvc, maven>= 6.0.0, <= 6.0.30GitHub
  • org.springframework:spring-webmvc, maven>= 6.1.0, <= 6.1.28GitHub
  • org.springframework:spring-webmvc, maven>= 6.2.0, <= 6.2.19GitHub
  • org.springframework:spring-webmvc, maven>= 7.0.0, <= 7.0.8GitHub
  • Spring Frameworkaffected: 7.0.0 through 7.0.8CVE List
  • Spring Frameworkaffected: 6.2.0 through 6.2.19CVE List
  • Spring Frameworkaffected: 6.1.0 through 6.1.28CVE List
  • Spring Frameworkaffected: 6.0.0 through 6.0.30CVE List
  • Spring Frameworkaffected: 5.3.0 through 5.3.49CVE List
  • Spring Frameworkaffected: all versions through 5.2.25.RELEASECVE List
  • org.springframework:spring-webmvc, Mavenfrom first release, through 5.2.25.RELEASEOSV
  • org.springframework:spring-webmvc, Maven1.0OSV
  • org.springframework:spring-webmvc, Maven1.0-rc1OSV
  • org.springframework:spring-webmvc, Maven1.0.1OSV
  • org.springframework:spring-webmvc, Maven1.1OSV
  • org.springframework:spring-webmvc, Maven1.1-rc1OSV
  • org.springframework:spring-webmvc, Maven1.1-rc2OSV
  • org.springframework:spring-webmvc, Maven1.1.1OSV
  • org.springframework:spring-webmvc, Maven1.1.2OSV
  • org.springframework:spring-webmvc, Maven1.1.3OSV
  • org.springframework:spring-webmvc, Maven1.1.4OSV
  • org.springframework:spring-webmvc, Maven1.1.5OSV
  • org.springframework:spring-webmvc, Maven1.2OSV
  • org.springframework:spring-webmvc, Maven1.2-rc1OSV
  • org.springframework:spring-webmvc, Maven1.2-rc2OSV
  • org.springframework:spring-webmvc, Maven1.2.1OSV
  • org.springframework:spring-webmvc, Maven1.2.2OSV
  • org.springframework:spring-webmvc, Maven1.2.3OSV
  • org.springframework:spring-webmvc, Maven1.2.4OSV
  • org.springframework:spring-webmvc, Maven1.2.5OSV
  • org.springframework:spring-webmvc, Maven1.2.6OSV
  • org.springframework:spring-webmvc, Maven1.2.7OSV
  • org.springframework:spring-webmvc, Maven1.2.8OSV
  • org.springframework:spring-webmvc, Maven1.2.9OSV
  • org.springframework:spring-webmvc, Maven2.0OSV
  • org.springframework:spring-webmvc, Maven2.0-m1OSV
  • org.springframework:spring-webmvc, Maven2.0-m2OSV
  • org.springframework:spring-webmvc, Maven2.0-m3OSV
  • org.springframework:spring-webmvc, Maven2.0-m4OSV
  • org.springframework:spring-webmvc, Maven2.0-m5OSV
  • org.springframework:spring-webmvc, Maven2.0-rc1OSV
  • org.springframework:spring-webmvc, Maven2.0-rc2OSV
  • org.springframework:spring-webmvc, Maven2.0.1OSV
  • org.springframework:spring-webmvc, Maven2.0.2OSV
  • org.springframework:spring-webmvc, Maven2.0.3OSV
  • org.springframework:spring-webmvc, Maven2.0.4OSV
  • org.springframework:spring-webmvc, Maven2.0.5OSV
  • org.springframework:spring-webmvc, Maven2.0.6OSV
  • org.springframework:spring-webmvc, Maven2.0.7OSV
  • org.springframework:spring-webmvc, Maven2.0.8OSV
  • org.springframework:spring-webmvc, Maven2.5OSV
  • org.springframework:spring-webmvc, Maven2.5.1OSV
  • org.springframework:spring-webmvc, Maven2.5.2OSV
  • org.springframework:spring-webmvc, Maven2.5.3OSV
  • org.springframework:spring-webmvc, Maven2.5.4OSV
  • org.springframework:spring-webmvc, Maven2.5.5OSV
  • org.springframework:spring-webmvc, Maven2.5.6OSV
  • org.springframework:spring-webmvc, Maven2.5.6.SEC01OSV
  • org.springframework:spring-webmvc, Maven2.5.6.SEC02OSV
  • org.springframework:spring-webmvc, Maven2.5.6.SEC03OSV
  • org.springframework:spring-webmvc, Maven3.0.0.RELEASEOSV
  • org.springframework:spring-webmvc, Mavenfrom 5.3.0, through 5.3.49OSV
  • org.springframework:spring-webmvc, Maven5.3.0OSV
  • org.springframework:spring-webmvc, Maven5.3.1OSV
  • org.springframework:spring-webmvc, Maven5.3.10OSV
  • org.springframework:spring-webmvc, Maven5.3.11OSV
  • org.springframework:spring-webmvc, Maven5.3.12OSV
  • org.springframework:spring-webmvc, Maven5.3.13OSV
  • org.springframework:spring-webmvc, Maven5.3.14OSV
  • org.springframework:spring-webmvc, Maven5.3.15OSV
  • org.springframework:spring-webmvc, Maven5.3.16OSV
  • org.springframework:spring-webmvc, Maven5.3.17OSV
  • org.springframework:spring-webmvc, Maven5.3.18OSV
  • org.springframework:spring-webmvc, Maven5.3.19OSV
  • org.springframework:spring-webmvc, Maven5.3.2OSV
  • org.springframework:spring-webmvc, Maven5.3.20OSV
  • org.springframework:spring-webmvc, Maven5.3.21OSV
  • org.springframework:spring-webmvc, Maven5.3.22OSV
  • org.springframework:spring-webmvc, Maven5.3.23OSV
  • org.springframework:spring-webmvc, Maven5.3.24OSV
  • org.springframework:spring-webmvc, Maven5.3.25OSV
  • org.springframework:spring-webmvc, Maven5.3.26OSV
  • org.springframework:spring-webmvc, Maven5.3.27OSV
  • org.springframework:spring-webmvc, Maven5.3.28OSV
  • org.springframework:spring-webmvc, Maven5.3.29OSV
  • org.springframework:spring-webmvc, Maven5.3.3OSV
  • org.springframework:spring-webmvc, Maven5.3.30OSV
  • org.springframework:spring-webmvc, Maven5.3.31OSV
  • org.springframework:spring-webmvc, Maven5.3.32OSV
  • org.springframework:spring-webmvc, Maven5.3.33OSV
  • org.springframework:spring-webmvc, Maven5.3.34OSV
  • org.springframework:spring-webmvc, Maven5.3.35OSV
  • org.springframework:spring-webmvc, Maven5.3.36OSV
  • org.springframework:spring-webmvc, Maven5.3.37OSV
  • org.springframework:spring-webmvc, Maven5.3.38OSV
  • org.springframework:spring-webmvc, Maven5.3.39OSV
  • org.springframework:spring-webmvc, Maven5.3.4OSV
  • org.springframework:spring-webmvc, Maven5.3.5OSV
  • org.springframework:spring-webmvc, Maven5.3.6OSV
  • org.springframework:spring-webmvc, Maven5.3.7OSV
  • org.springframework:spring-webmvc, Maven5.3.8OSV
  • org.springframework:spring-webmvc, Maven5.3.9OSV
  • org.springframework:spring-webmvc, Mavenfrom 6.0.0, through 6.0.30OSV
  • org.springframework:spring-webmvc, Maven6.0.0OSV
  • org.springframework:spring-webmvc, Maven6.0.1OSV
  • org.springframework:spring-webmvc, Maven6.0.10OSV
  • org.springframework:spring-webmvc, Maven6.0.11OSV
  • org.springframework:spring-webmvc, Maven6.0.12OSV
  • org.springframework:spring-webmvc, Maven6.0.13OSV
  • org.springframework:spring-webmvc, Maven6.0.14OSV
  • org.springframework:spring-webmvc, Maven6.0.15OSV
  • org.springframework:spring-webmvc, Maven6.0.16OSV
  • org.springframework:spring-webmvc, Maven6.0.17OSV
  • org.springframework:spring-webmvc, Maven6.0.18OSV
  • org.springframework:spring-webmvc, Maven6.0.19OSV
  • org.springframework:spring-webmvc, Maven6.0.2OSV
  • org.springframework:spring-webmvc, Maven6.0.20OSV
  • org.springframework:spring-webmvc, Maven6.0.21OSV
  • org.springframework:spring-webmvc, Maven6.0.22OSV
  • org.springframework:spring-webmvc, Maven6.0.23OSV
  • org.springframework:spring-webmvc, Maven6.0.3OSV
  • org.springframework:spring-webmvc, Maven6.0.4OSV
  • org.springframework:spring-webmvc, Maven6.0.5OSV
  • org.springframework:spring-webmvc, Maven6.0.6OSV
  • org.springframework:spring-webmvc, Maven6.0.7OSV
  • org.springframework:spring-webmvc, Maven6.0.8OSV
  • org.springframework:spring-webmvc, Maven6.0.9OSV
  • org.springframework:spring-webmvc, Mavenfrom 6.1.0, through 6.1.28OSV
  • org.springframework:spring-webmvc, Maven6.1.0OSV
  • org.springframework:spring-webmvc, Maven6.1.1OSV
  • org.springframework:spring-webmvc, Maven6.1.10OSV
  • org.springframework:spring-webmvc, Maven6.1.11OSV
  • org.springframework:spring-webmvc, Maven6.1.12OSV
  • org.springframework:spring-webmvc, Maven6.1.13OSV
  • org.springframework:spring-webmvc, Maven6.1.14OSV
  • org.springframework:spring-webmvc, Maven6.1.15OSV
  • org.springframework:spring-webmvc, Maven6.1.16OSV
  • org.springframework:spring-webmvc, Maven6.1.17OSV
  • org.springframework:spring-webmvc, Maven6.1.18OSV
  • org.springframework:spring-webmvc, Maven6.1.19OSV
  • org.springframework:spring-webmvc, Maven6.1.2OSV
  • org.springframework:spring-webmvc, Maven6.1.20OSV
  • org.springframework:spring-webmvc, Maven6.1.21OSV
  • org.springframework:spring-webmvc, Maven6.1.3OSV
  • org.springframework:spring-webmvc, Maven6.1.4OSV
  • org.springframework:spring-webmvc, Maven6.1.5OSV
  • org.springframework:spring-webmvc, Maven6.1.6OSV
  • org.springframework:spring-webmvc, Maven6.1.7OSV
  • org.springframework:spring-webmvc, Maven6.1.8OSV
  • org.springframework:spring-webmvc, Maven6.1.9OSV
  • org.springframework:spring-webmvc, Mavenfrom 6.2.0, through 6.2.19OSV
  • org.springframework:spring-webmvc, Maven6.2.0OSV
  • org.springframework:spring-webmvc, Maven6.2.1OSV
  • org.springframework:spring-webmvc, Maven6.2.10OSV
  • org.springframework:spring-webmvc, Maven6.2.11OSV
  • org.springframework:spring-webmvc, Maven6.2.12OSV
  • org.springframework:spring-webmvc, Maven6.2.13OSV
  • org.springframework:spring-webmvc, Maven6.2.14OSV
  • org.springframework:spring-webmvc, Maven6.2.15OSV
  • org.springframework:spring-webmvc, Maven6.2.16OSV
  • org.springframework:spring-webmvc, Maven6.2.17OSV
  • org.springframework:spring-webmvc, Maven6.2.18OSV
  • org.springframework:spring-webmvc, Maven6.2.19OSV
  • org.springframework:spring-webmvc, Maven6.2.2OSV
  • org.springframework:spring-webmvc, Maven6.2.3OSV
  • org.springframework:spring-webmvc, Maven6.2.4OSV
  • org.springframework:spring-webmvc, Maven6.2.5OSV
  • org.springframework:spring-webmvc, Maven6.2.6OSV
  • org.springframework:spring-webmvc, Maven6.2.7OSV
  • org.springframework:spring-webmvc, Maven6.2.8OSV
  • org.springframework:spring-webmvc, Maven6.2.9OSV
  • org.springframework:spring-webmvc, Mavenfrom 7.0.0, fixed in 7.0.9OSV
  • org.springframework:spring-webmvc, Maven7.0.0OSV
  • org.springframework:spring-webmvc, Maven7.0.1OSV
  • org.springframework:spring-webmvc, Maven7.0.2OSV
  • org.springframework:spring-webmvc, Maven7.0.3OSV
  • org.springframework:spring-webmvc, Maven7.0.4OSV
  • org.springframework:spring-webmvc, Maven7.0.5OSV
  • org.springframework:spring-webmvc, Maven7.0.6OSV
  • org.springframework:spring-webmvc, Maven7.0.7OSV
  • org.springframework:spring-webmvc, Maven7.0.8OSV

References 4