CVE-2025-60423

認証バイパス： 7.2.8 この認証バイパスはShiroの権限バイパスと類似しています。 sessionfilterクラスのdofilterInternalメソッドでは、デフォルトのdofilterパラメータはtrueであり、falseの場合のみ認証を回避できます。 matchesメソッドを追跡すると、このコードはurlとpatterns内の134個のパス文字列を照合し、マッチが成功するとtrueを返してdofilterをtrueにできることがわかります。 その後、ループが判定に入るまでデバッグを続けると、このときpatternは/static.?になります。 1. 正規表現パターン...