关键漏洞信息 漏洞类型 不正确的访问控制 / 不安全的反序列化 产品供应商 https://gitee.com/wangzhixuan/spring-shiro-training 受影响的产品代码库 所有版本（截至 94812c1fd8f7fe796c931f4984ff1aa0671ab562） 受影响组件 前端 API 端点： 可通过路径遍历在 下访问 攻击类型 远程，无需认证 漏洞详情 项目使用了过时的 Apache Shiro 配置，允许匿名访问 路径。 对于敏感接口（如 ），正常访问时用户会被重定向到登录页面，只有管理员可以访问。 利用路径遍历技术（例如 ），攻击者可以绕过认证并访问敏感的 。 当前环境中依赖 log4j，只需找到一个能稳定触发日志功能的接口，利用 log4shell 实现 RCE，例如 。 POC 示例