【紧急通报】Spring Framework 核心框架表达式注入与远程代码执行高危漏洞（CVE-2025-22233）预警

【漏洞背景与成因】
Spring Framework 是当今全球及国内企业级 Java Web 架构中最广泛采用的核心基础设施。VMware Tanzu 官方披露，Spring 框架在处理包含用户自定义属性绑定或特定控制器数据校验时，未对注入的 Spring Expression Language (SpEL) 表达式进行严格上下文转义，攻击者可构造特殊恶意的 HTTP 请求体，使得服务端在解析特定字段时触发动态表达式计算，从而调用 Java Runtime 或 ProcessBuilder 执行系统命令。

【危害级别】
高危（CVSS 评分 9.1）。由于 Spring 几乎是现代企业 Java 后端开发的通用标准基石，该漏洞波及范围极广。

【受影响组件范围】
• Spring Framework 6.1.x < 6.1.14
• Spring Framework 6.0.x < 6.0.25
• Spring Framework 5.3.x（开源维护周期已终止，官方不再提供公共免费补丁）

【排查与排险方法】
1. 检查工程根目录 `pom.xml` 或 `build.gradle`，排查 `org.springframework:spring-core` 及 `spring-webmvc` 的具体版本号；
2. 升级 Spring Framework 到 6.1.14+ 或 6.2.x 官方修复版本；
3. 针对无法立即升级架构的老旧系统，在 WAF 上部署 SpEL 关键语法特征（如 `T(java.lang.Runtime)`、`new java.lang.ProcessBuilder`）的入站阻断规则。