Apache Shiro <3.0.1 RememberMe 会话固定漏洞 CVE-2026-74762
CVE-2026-74762: Apache Shiro: Possible session fixation with RememberMe
推荐理由
Shiro 是 Java 生态核心安全框架，此会话固定漏洞可直接导致账户接管。请检查依赖并立即升级至 3.0.1+ 以阻断风险。
Posted by Lenny Primak on Nov 13
由 Lenny Primak 发布于 11 月 13 日
Severity:
严重程度：
CVSS 4.0: 5.9 (medium) CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/S:N/AU:N/R:U/V:D/RE:L/U:Amber
CVSS 4.0：5.9（中危） CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/S:N/AU:N/R:U/V:D/RE:L/U:Amber
Affected versions:
受影响版本：
- Apache Shiro (org.apache.shiro:shiro-core) before 3.0.1
- Apache Shiro (org.apache.shiro:shiro-web) before 3.0.1
- Apache Shiro (org.apache.shiro:shiro-core) 3.0.1 之前版本
- Apache Shiro (org.apache.shiro:shiro-web) 3.0.1 之前版本
Description:
描述：
Apache Shiro is vulnerable to session fixation when a user is authenticated via the "Remember me" functionality. In
当用户通过“记住我”功能进行身份验证时，Apache Shiro 易受会话固定攻击。在
affected versions, when a subject is...
受影响版本中，当主体是...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力