Apache Shiro <3.0.2 Jakarta标签XSS漏洞修复
CVE-2026-129320: Apache Shiro: Principal tags in Jakarta Pages and Jakarta Faces do not escape output, allowing cross-site scripting
涉及Apache Shiro核心标签库的XSS漏洞，使用Jakarta Faces或Pages且依赖Shiro进行权限控制的开发者必须升级至3.0.2以阻断潜在的攻击向量。
Posted by Lenny Primak on Nov 13
发布于 11 月 13 日，作者 Lenny Primak
Severity:
严重程度：
CVSS 4.0: 2.1 (low) CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/S:N/AU:N/V:D/RE:L/U:Green
CVSS 4.0: 2.1 (低) CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/S:N/AU:N/V:D/RE:L/U:Green
Affected versions:
受影响版本：
- Apache Shiro (org.apache.shiro:shiro-web) before 3.0.2
- Apache Shiro (org.apache.shiro:shiro-jakarta-ee) 2.0.0-alpha-0 before 3.0.2
- Apache Shiro (org.apache.shiro:shiro-web) 3.0.2 之前版本
- Apache Shiro (org.apache.shiro:shiro-jakarta-ee) 2.0.0-alpha-0 至 3.0.2 之前版本
Description:
描述：
The shiro:principal tags in shiro-web (Jakarta Pages) and shiro-jakarta-ee (Jakarta Faces) did not escape their output,
shiro-web (Jakarta Pages) 和 shiro-jakarta-ee (Jakarta Faces) 中的 shiro:principal 标签未对其输出进行转义，
which could allow cross-site...
这可能导致跨站...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力