Spring Cloud 新版发布，一次修复17个安全漏洞

Spring Cloud 团队宣布，2025.1.3 Release Train 现已发布，可在 Maven Central 获取。这个版本以 Spring Boot 4.0.8 为基线，本次更新的重点是安全修复，涉及 Commons、Config、Function、Gateway、Stream 共 5 个模块，合计修复 17 个 CVE。

Spring Cloud Commons

• 修复 CVE-2026-59284：可写的 env Actuator 端点缺少属性 allow list
• Bouncycastle 升级到 1.85.2，Commons 改用 Bouncycastle BOM
• 不再对库类型递归重置配置属性
• 没有默认构造器时跳过 Bean 默认值重置
• 重新绑定时支持 Bean 自动注入

Spring Cloud Config

• 修复 CVE-2026-47836：使用 SVN 后端时，Config Server 存在 TOCTOU 竞态风险
• 修复 CVE-2026-47837：Config Server 的 Monitor 端点未验证 Webhook 请求
• 修复 CVE-2026-47894：Config Server 的 native 环境仓库存在文件暴露风险
• 修复 CVE-2026-59315：Config Monitor 存在拒绝服务风险
• 支持在 AWS S3 桶中使用带通配符的 Git 风格 searchPaths

Spring Cloud Function

• 修复 CVE-2026-59291：存在潜在的任意文件读取与 SSRF 风险
• 修复 CVE-2026-59297：判断 URI 是否安全时可能出错
• 修复 CVE-2026-59298：HTTP Header 可能被不当过滤
• 修复 CVE-2026-59299：函数组合查找可能污染基础函数
• 修复 CVE-2026-59300：AWS 场景下可能记录敏感数据
• 修复 CVE-2026-59301：Azure 场景下可能记录敏感数据

Spring Cloud Gateway

• 修复 CVE-2026-47879：gRPC 场景下存在 SSRF 与本地文件访问风险
• 新增 MVC 重试的 backoff 支持

Spring Cloud Stream

• 修复 CVE-2026-59302：可能记录敏感数据
• 修复 CVE-2026-59303：动态 destination 的缓存大小未正确限制
• 修复 CVE-2026-59304：Avro 场景下原始 Content-Type 缓存不当
• 修复 CVE-2026-59305：发送消息时分区拦截器可能被重复添加
• 修复 CVE-2026-59306：存在反序列化不可信类型的风险

Spring Cloud Circuitbreaker 与 Consul

• Circuitbreaker：Resilience4JCircuitBreakerFactory 不再使用 TimeLimiterConfig 的默认配置
• Consul：为 eventList 补充必需的参数注解

本次更新涉及的模块版本

如何升级

Maven 方式，在 dependencyManagement 中引入 BOM：

1
2
3
4
5
6
7
8
9
10
11

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-dependencies</artifactId>
            <version>2025.1.3</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

Gradle 方式：

1
2
3
4
5

dependencyManagement {
    imports {
        mavenBom 'org.springframework.cloud:spring-cloud-dependencies:2025.1.3'
    }
}

已经在 2025.1.x 上的项目，建议尽快把 BOM 升级到 2025.1.3。更多细节可以查看官方 Release Notes。