Apache Shiro _ 1.7.1 权限绕过漏洞（CVE-2020-17523）.md

698 B / 2021-05-21 09:14:38

    # Apache Shiro < 1.7.1 权限绕过漏洞（CVE-2020-17523）

Apache Shiro是一个应用广泛的权限管理的用户认证与授权框架。2021年2月1日，Apache Shiro发布1.7.1版本，修复了 Apache Shiro 身份验证绕过漏洞 (CVE-2020-17523)。攻击者可以使用包含payload的恶意请求绕过Shiro的身份认证。漏洞利用需要配合Spring环境.

影响版本

Apache Shiro < 1.7.1

详细分析可见：https://www.anquanke.com/post/id/230935

**PoC：**

```
http://127.0.0.1:8080/admin/%20
使用空格等空字符，可绕过shiro身份验证。
```

ref：

> https://help.aliyun.com/noticelist/articleid/1060799995.html
> https://www.anquanke.com/post/id/230935