Apache Shiro 3.0.2 修复 CVE-2026-114737：路径匹配缺陷致认证绕过
CVE-2026-114737: Apache Shiro: Incorrect default for case-insensitive path matching in ShiroFilterFactoryBean allows auth bypass for static files
涉及 Apache Shiro 核心过滤器的认证绕过漏洞，直接影响依赖该框架的应用安全性，请务必升级至 3.0.2。
Posted by Lenny Primak on Nov 13
由 Lenny Primak 发布于 11 月 13 日
Severity:
严重程度：
CVSS 4.0: 2.3 (low) CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/S:P/AU:Y/V:D/RE:L/U:Green
CVSS 4.0：2.3（低） CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/S:P/AU:Y/V:D/RE:L/U:Green
Affected versions:
受影响版本：
- Apache Shiro (org.apache.shiro:shiro-spring) 3.0.1 before 3.0.2
- Apache Shiro (org.apache.shiro:shiro-spring) 3.0.1 至 3.0.2 之前版本
Description:
描述：
The fix for CVE-2026-23903 https://shiro.apache.org/security-reports.html#cve_2026_23903 was incomplete for
CVE-2026-23903 https://shiro.apache.org/security-reports.html#cve_2026_23903 的修复不完整，适用于
manually-created ShiroFilterFactoryBean, which still matched paths case-sensitively by default.
手动创建的 ShiroFilterFactoryBean，其默认情况下仍按区分大小写的方式匹配路径。
This issue...
此问题...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力