Иерархия контекстов в Spring. High CVE в Axelix

Вступление Привет, Хабр! Меня зовут Михаил Поливаха, я Tech Lead проекта Axelix . Если Вы раньше про нас не слышали, то Axelix это платформа для управления и диагностики Spring Boot приложений. Ядро проекта доступно в Open Source, поэтому исходный код, история изменений и, как выяснилось, наши ошибки тоже открыты всем желающим 😁. Новости проекта, релизы и вот такие разборы мы публикуем в нашем Telegram-канале , заглядывайте. Недавно внешний security researcher Андрей Котов ( greatkaa ) нашёл в Axelix уязвимость. Если в двух словах: при определённой конфигурации Spring Boot наши Actuator endpoints можно было вызвать без JWT-токена. Мы её уже исправили в версии 1.2.1 и описали в Security Advisory . Андрею, пользуясь случаем, большое спасибо. Читать далее