Apache Shiro <3.0.2 授权注解未强制生效安全修复
CVE-2026-74763: Apache Shiro: Authorization annotations not always enforced, depending on where they are placed
推荐理由
使用 Guice、AspectJ 或 CDI 集成 Shiro 的开发者必须升级至 3.0.2 以上版本，否则特定注解位置的权限校验可能失效。
Posted by Lenny Primak on Nov 13
由 Lenny Primak 发布于 11月13日
Severity:
严重程度：
CVSS 4.0: 6.3 (medium) CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/S:N/AU:N/V:D/RE:L/U:Amber
CVSS 4.0：6.3（中危）CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/S:N/AU:N/V:D/RE:L/U:Amber
Affected versions:
受影响版本：
- Apache Shiro (org.apache.shiro:shiro-guice) before 3.0.2
- Apache Shiro (org.apache.shiro:shiro-aspectj) before 3.0.2
- Apache Shiro (org.apache.shiro:shiro-cdi) 2.0.0-alpha-0 before 3.0.2
- Apache Shiro (org.apache.shiro:shiro-jakarta-ee) 2.0.0-alpha-0 before 3.0.2
- Apache Shiro (org.apache.shiro:shiro-guice) 3.0.2 之前版本
- Apache Shiro (org.apache.shiro:shiro-aspectj) 3.0.2 之前版本
- Apache Shiro (org.apache.shiro:shiro-cdi) 2.0.0-alpha-0 至 3.0.2 之前版本
- Apache Shiro (org.apache.shiro:shiro-jakarta-ee) 2.0.0-alpha-0 至 3.0.2 之前版本
Description:
描述：
Authorization...
授权...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力