Обход аутентификации:

7.2.8

Этот обход аутентификации аналогичен обходу прав в Shiro. В методе dofilterInternal класса sessionfilter параметр dofilter по умолчанию равен true, и только когда он равен false, аутентификация не выполняется. Перейдя к методу matches, видно, что этот код сопоставляет URL с 134 строками пути из patterns, и при успешном совпадении возвращает true, что позволяет установить dofilter в true. Затем продолжаем отладку, пока цикл не дойдёт до условия, где pattern равен /static.*?

1. Значение регулярного выражения /static.?: Это нежадное регулярное выражение, которое сопоставляет строки, начинающиеся с /static, за которыми следуют любые символы (включая /, . и т.д.) (.? означает сопоставление любых символов, нежадный режим влияет только на длину совпадения, но не на сам факт совпадения).
2. Сопоставляемая строка: /static/../je/saas/saasYh/getInfoById — эта строка явно начинается с /static, а последующее содержимое включает /../je/..., что соответствует диапазону /static.*?.

Таким образом, достаточно добавить /static/.. перед любым путём фонового каталога, чтобы обойти аутентификацию. На самом деле здесь подходит не только /static/.. — в patterns любой одноуровневый путь с последующим .*? может быть использован для обхода. Пример:

/error/.*?
/adminseal.zz/.*?
/dwr/.*?
...

Я не нашёл все варианты, но всё, что соответствует этому правилу, подходит.