关键漏洞信息 漏洞标题 可能性绕过服务器端文件上传验证 严重性 中等 (基础评分 5.3) CVE 编号 CVE-2025-9467 概述 当 Vaadin Upload 的启动监听器用于验证即将上传的元数据时，可以绕过上传验证。 描述 使用 Vaadin Upload 的启动监听器验证即将上传的元数据时，可能会绕过上传验证。 受影响的产品和缓解措施 用户应升级到以下版本以解决此问题： - Vaadin 7.0.0 - 7.7.47: 升级到 7.7.48 - Vaadin 8.0.0 - 8.28.1: 升级到 8.28.2 - Vaadin 14.0.0 - 14.13.0: 升级到 14.13.1 - Vaadin 23.0.0 - 23.6.1: 升级到 23.6.2 - Vaadin 24.0.0 - 24.7.6: 升级到 24.7.7 或更高版本 - Vaadin Upload Flow 2.0.0 - 14.13.0: 升级到 14.13.1 - Vaadin Upload Flow 23.0.0 - 23.6.1: 升级到 23.6.2 - Vaadin Upload Flow 24.0.0 - 24.7.6: 升级到 24.7.7 或更高版本 注意事项 Vaadin 版本 10-13 和 15-22 不再受支持，建议升级到最新版本 14、23 或 24。 参考链接 https://github.com/vaadin/flow-components/pull/7616 历史记录 2025-09-03: 初始漏洞报告发布