Spring Cloud Config，2.2.2之前的2.2.x版本，2.1.7之前的2.1.x版本，以及更早的不受支持的版本，允许应用程序通过Spring-Cloud-CONFIG-SERVER模块提供任意配置文件。 恶意用户或攻击者可以使用巧尽心思构建的URL发送请求，从而导致目录遍历攻击。

厂商已发布了漏洞修复程序，请及时关注更新：https://spring.io/projects/spring-cloud-config 通过防火墙等安全设备设置访问策略，设置白名单访问。 如非必要，禁止公网访问该系统。