KnowSafe 安全预警：Spring Cloud Gateway WebFlux SpEL 表达式注入漏洞（CVE-2025-41253）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-41253 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Spring Cloud Gateway 是 Spring 生态的轻量级、高性能网关，替代 Netflix Zuul 2，用于统一路由、过滤、限流、鉴权等边缘服务处理。当未经授权的远程攻击者可以访问到Spring Boot actuator routes时，可以构造恶意请求读取系统环境变量，导致敏感信息泄露。

安全版本：

Spring Cloud Gateway 4.3.2

Spring Cloud Gateway 4.2.6

Spring Cloud Gateway 4.1.12

Spring Cloud Gateway 3.1.12

影响范围

官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。

解决方案

1、修复方案：升级Spring Cloud Gateway 至安全版本

2、缓解方案：关闭 Spring Cloud Gateway路由，将 gateway值从 management.endpoints.web.exposure.include配置中删除，或者设置management.endpoint.gateway.enabled为 false，禁止外界直接访问 spring actuator routes