Spring4Shell
CVE-2022-22965 — удалённое выполнение кода в Spring Framework через манипуляции с загрузчиком классов при привязке данных. Уязвимость возникла из-за взаимодействия с возможностями Java 9+.
Раскрыта 30 марта 2022 года. Сначала началась паника в духе «это новый Log4Shell!», но масштаб оказался куда уже: нужна была конкретная связка Tomcat, Spring и JDK 9+.
Исправлена в тот же день в версиях 5.3.18 и 5.2.20. Параллельно нашли родственную RCE в Spring Cloud Function (CVE-2022-22963).