2.2.2版本Spring Framework 身份认证绕过漏洞

[Super-longyu]

2.2.2版本Spring Framework存在身份认证绕过漏洞，当Spring Security使用mvcRequestMatcher配置并将"**"作为匹配模式时，在Spring Security 和 Spring MVC 之间会发生模式不匹配，最终可能导致身份认证绕过。 修复建议 将 Spring Framework 升级到 5.3.26、6.0.7 及以上版本。

漏洞名称	危险程度	CVE_ID	受影响版本	修复建议
Spring Framework 身份认证绕过漏洞	高危	CVE-2023-20860	Spring Framework 5.3.0 - 5.3.25、6.0.0 - 6.0.6	将 Spring Framework 升级到 5.3.26、6.0.7 及以上版本

[caramely]

@Super-longyu 问题有解决吗

[ft816806]

@Super-longyu 同问，问题解决了吗?
如果直接升级webmvc版本，会报错
如果升级整个springboot starter web的版本，2.6.14又已经是2.6.X的最新版了，再往上升就跨大版本了
尴尬，有没有小伙伴有好的修复方案？

[KomachiSion]

Nacos 没有设置**，理论上不涉及， 如果只是防止被扫描， 等待版本升级即可。

[KomachiSion]

Fixed by #10504