【安全漏洞公告】Spring Framework身份验证绕过漏洞（CVE-2023-20860）

一、漏洞简介

Spring Security 是一套为基于Spring的应用程序提供说明性安全保护的安全框架。
在受影响版本中，当Spring Security使用mvcRequestMatcher配置了**作为前缀的pattern时，其与Spring MVC的匹配逻辑存在差异，可能导致鉴权绕过，通过未经身份验证的远程攻击者通过构造特制请求，最终可实现身份验证绕过访问后台信息。

二、影响范围

Spring Framework 6.0.x <= 6.0.6

Spring Framework 5.3.x <= 5.3.25

三、解决措施

目前官方已在最新版本中修复了该漏洞，请受影响的用户尽快升级版本进行防护，最新版本下载链接如下：

https://github.com/spring-projects/spring-framework/releases/tag/v6.0.7

https://github.com/spring-projects/spring-framework/releases/tag/v5.3.26

四、参考链接

https://spring.io/security/cve-2023-20860