描述

Spring Security 註解檢測機制可能無法正確解析具有無界泛型的引數化超型別中的方法上的註解。當使用 @PreAuthorize 和其他方法安全註解時，這可能會導致授權繞過。

如果您的應用程式使用 Spring Security 的 @EnableMethodSecurity 功能，則可能會受到此影響。

如果您不使用 @EnableMethodSecurity，或者您不在泛型超類或泛型介面中的方法上使用安全註解，則不會受到此影響。

此 CVE 與 CVE-2025-41249 同時釋出。

受影響的 Spring 產品和版本

Spring Security

• 6.4.0 - 6.4.10
• 6.5.0 - 6.5.4

緩解措施

受影響版本的使用者應遵循 CVE-2025-41249 中的緩解步驟，並升級到相應的修復版本

無需其他緩解措施。

如果您無法升級，則可以確保所有受保護的目標方法都在其目標類中宣告。

致謝

此漏洞由 Avgustin Marinov 發現並負責任地報告。

參考資料

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N/E:X/RL:O/RC:C/CR:L/IR:X/AR:X/MAV:N/MAC:L/MPR:N/MUI:N/MS:U/MC:L/MI:N/MA:N&version=3.1

歷史

• 2025-09-15: 初步漏洞報告發布。
• 2025-09-17: 更新了受影響版本和修復版本。
• 2025-09-18: 更新了致謝部分。