Spring4Shell
CVE-2022-22965 — RCE i Spring Framework via dataBinder + class-loader-manipulation. Allvarlig men begränsad till specifika konfigurationer.
Initialt panik (apr 2022) — folk trodde det var Log4Shell-nivå. I praktiken krävde: Java 9+ + Spring MVC/WebFlux + WAR-deploy (inte JAR). Affärspåverkan mindre än Log4Shell pga begränsade förutsättningar. Patch + spring update fortfarande viktig. Lett till mer aufmärksamhet på Spring's data-binding-säkerhet.