CVSS评分：7.5
CVE-2025-48976_ Apache Commons FileUpload 安全漏洞
- [1. 漏洞原理](#1. 漏洞原理)
- [2. 漏洞危害](#2. 漏洞危害)
- [3. 漏洞修复](#3. 漏洞修复)
1. 漏洞原理
CVE‑2025‑48976 是 Apache Commons FileUpload 库中的一个 拒绝服务（DoS）漏洞。该库常用于 Java Web 框架（如 Tomcat、WebSphere、IBM 产品等）处理 multipart/form‑data 请求（即文件上传请求）
引用此库的组件均受漏洞影响，该漏洞可远程触发且无需认证
受影响版本：
- 1.0 ≤ 版本 < 1.6
- 2.0.0‑M1 ≤ 版本 < 2.0.0‑M4
Commons FileUpload 对 multipart 请求的 headers 分配资源没有有效限制：
- 库原本对每个 multipart 部件的 header 大小使用 固定约 10 KB 限制；
- 攻击者可生成含大量 multipart 部件（每个带相对较大 header）的请求；
- 服务器在解析时分配大量内存来保存这些 header，最终耗尽资源、导致服务崩溃或无法响应。
2. 漏洞危害
该漏洞实际范围很广，只要应用依赖未修复的 FileUpload 版本就可能受影响，成功触发漏洞可导致 DOS 攻击，建议立即修复此漏洞
微步定义为低风险，暂未发现恶意的漏洞利用行为，但已存在公开的poc，漏洞利用成本极低：
3. 漏洞修复
升级版本修复：
- 将 Apache Commons FileUpload 升级到 1.6 或更高；
- 对 2.x 系列升级到 2.0.0‑M4 或更高版本