fix: CVE-2024-22243 & CVE-2024-22259 Upgrade Spring Web to 5.3.33

[cxhello]

What is the purpose of the change

Closes #11811

Brief changelog

XX

Verifying this change

XXXX

Follow this checklist to help us incorporate your contribution quickly and easily:

• Make sure there is a Github issue filed for the change (usually before you start working on it). Trivial changes like typos do not require a Github issue. Your pull request should address just this issue, without pulling in other changes - one PR resolves one issue.
• Format the pull request title like [ISSUE #123] Fix UnknownException when host config not exist. Each commit in the pull request should have a meaningful subject line and body.
• Write a pull request description that is detailed enough to understand what the pull request does, how, and why.
• Write necessary unit-test to verify your logic correction, more mock a little better when cross module dependency exist. If the new feature or significant change is committed, please remember to add integration-test in test module.
• Run mvn -B clean package apache-rat:check findbugs:findbugs -Dmaven.test.skip=true to make sure basic checks pass. Run mvn clean install -DskipITs to make sure unit-test pass. Run mvn clean test-compile failsafe:integration-test to make sure integration-test pass.

[KomachiSion]

这样的修复方式是否正确？

我理解spring-web应该是基于spring-boot引入的，看下是否能通过升级spring-boot版本来解决？

[cxhello]

是由 Spring Boot 引入，目前我看使用的版本是2.7.18，是Spring Boot 2 的最后一个版本。如果升级只能升级为3.0，改动应该比较大。所以我在依赖管理中重新定义了 Spring Web 的版本。

https://docs.spring.io/spring-boot/docs/2.7.18/reference/html/dependency-versions.html#appendix.dependency-versions

我理解没声明 spring-web 版本时会使用 Spring Boot 依赖的版本，如果声明了版本会使用自己声明的。

[lzysuqianqiu]

Now need to upgrade to 5.3.33 to solve simialr CVE

[KomachiSion]

是由 Spring Boot 引入，目前我看使用的版本是2.7.18，是Spring Boot 2 的最后一个版本。如果升级只能升级为3.0，改动应该比较大。所以我在依赖管理中重新定义了 Spring Web 的版本。

https://docs.spring.io/spring-boot/docs/2.7.18/reference/html/dependency-versions.html#appendix.dependency-versions

我理解没声明 spring-web 版本时会使用 Spring Boot 依赖的版本，如果声明了版本会使用自己声明的。

可以用mvn dependency:tree 看一下修改的是否生效，如果生效的话就这么修改一下。

[cxhello]

@KomachiSion

[ICE-GB]

<dependency>
    <groupId>org.springframework</groupId>
    <artifactId>spring-framework-bom</artifactId>
    <version>5.3.33</version>
    <scope>import</scope>
    <type>pom</type>
</dependency>

https://docs.spring.io/spring-boot/docs/2.7.18/reference/html/dependency-versions.html#appendix.dependency-versions:~:text=Spring%20Framework,spring%2Dframework.version

是否直接修改整体的spring-framework.version会更好一些呢？可以统一升级spring-framework的版本，避免只升级单个依赖可能引起的不兼容问题

[cxhello]

@ICE-GB 我理解社区后期会升到SpringBoot 3.0，这是暂时为了修复CVE的一个方案。目前使用的版本是2.7.18，依赖 spring-framework 5.3.31，升级到5.3.33，相当于修订版本升级，应该没有兼容问题。

[ICE-GB]

@ICE-GB 我理解社区后期会升到SpringBoot 3.0，这是暂时为了修复CVE的一个方案。目前使用的版本是2.7.18，依赖 spring-framework 5.3.31，升级到5.3.33，相当于修订版本升级，应该没有兼容问题。

如果是暂时性修复那没什么问题，主要是单独一个依赖放在那里，可能会被其他开发人员忽略，导致后续升级时忘掉这个东西

[cxhello]

@ICE-GB 恩，确实存在这种现象。不过这也是没法避免的。需要开发人员仔细一点。就像#11904 也存在漏洞，不升级 SpringBoot 的话也是要单独升级 Spring Security。

[cxhello]

@ICE-GB 已采用你说的方式提了PR，代码已被社区合并。#11914