描述

Spring Security 注解检测机制可能无法正确解析具有无界泛型的参数化超类型中的方法上的注解。当使用 @PreAuthorize 和其他方法安全注解时，这可能会导致授权绕过。

如果您的应用程序使用 Spring Security 的 @EnableMethodSecurity 功能，则可能会受到此影响。

如果您不使用 @EnableMethodSecurity，或者您不在泛型超类或泛型接口中的方法上使用安全注解，则不会受到此影响。

此 CVE 与 CVE-2025-41249 同时发布。

受影响的 Spring 产品和版本

Spring Security

• 6.4.0 - 6.4.10
• 6.5.0 - 6.5.4

缓解措施

受影响版本的用户应遵循 CVE-2025-41249 中的缓解步骤，并升级到相应的修复版本

无需其他缓解措施。

如果您无法升级，则可以确保所有受保护的目标方法都在其目标类中声明。

致谢

此漏洞由 Avgustin Marinov 发现并负责任地报告。

参考资料

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N/E:X/RL:O/RC:C/CR:L/IR:X/AR:X/MAV:N/MAC:L/MPR:N/MUI:N/MS:U/MC:L/MI:N/MA:N&version=3.1

历史

• 2025-09-15: 初步漏洞报告发布。
• 2025-09-17: 更新了受影响版本和修复版本。
• 2025-09-18: 更新了致谢部分。