From 09de046be00b57ea4823bef3d27c2d889a43e79b Mon Sep 17 00:00:00 2001
From: wyhhai <148897898+wyhhai@users.noreply.github.com>
Date: Wed, 28 Oct 2026 14:20:52 +0800
Subject: [PATCH] =?UTF-8?q?fix(java):=20=E5=8D=87=E7=BA=A7=20micrometer=20?=
 =?UTF-8?q?=E8=87=B3=201.15.12=20=E4=BF=AE=E5=A4=8D=20CVE-2026-40984?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

micrometer-core 1.12.9 受 CVE-2026-40984 影响（HTTP server instrumentation 可被
构造请求触发 DoS），升到 OSS 修复版 1.15.12。

1.15 线将 Prometheus registry 包名由 io.micrometer.prometheus 改为
io.micrometer.prometheusmetrics。为保持 SDK 对外 API 的包名不变、接入方零改动，
registry 依赖改用官方过渡产物 micrometer-registry-prometheus-simpleclient
（仍提供旧包名）。仅改 pom 依赖坐标，无代码改动。
---
 java/pom.xml | 13 +++++++------
 1 file changed, 7 insertions(+), 6 deletions(-)

diff --git a/java/pom.xml b/java/pom.xml
index 5a6b169..7cc5cad 100644
--- a/java/pom.xml
+++ b/java/pom.xml
@@ -15,11 +15,12 @@
   <properties>
     <maven.compiler.release>17</maven.compiler.release>
     <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
-    <!-- 对齐 Spring Boot 3.2.x 的 micrometer 版本（Boot 3.2.9 dependencyManagement
-         锁定 micrometer 1.12.9）。micrometer 1.13 把 Prometheus registry 的包名从
-         io.micrometer.prometheus 改为 io.micrometer.prometheusmetrics，若按 1.13 编译，
-         接入 Boot 3.2.x 的服务会在运行期 NoClassDefFoundError。 -->
-    <micrometer.version>1.12.9</micrometer.version>
+    <!-- 1.12.9 受 CVE-2026-40984（micrometer-core HTTP server instrumentation DoS）影响，
+         升到 1.15.12 修复。该版本线把 Prometheus registry 的包名从 io.micrometer.prometheus
+         改为 io.micrometer.prometheusmetrics，为保持 SDK 对外的 io.micrometer.prometheus
+         包名不变（接入方零改动），registry 依赖改用官方过渡产物
+         micrometer-registry-prometheus-simpleclient（仍提供旧包名）。 -->
+    <micrometer.version>1.15.12</micrometer.version>
     <slf4j.version>2.0.13</slf4j.version>
     <logback.version>1.5.12</logback.version>
     <logstash-encoder.version>7.4</logstash-encoder.version>
@@ -36,7 +37,7 @@
     </dependency>
     <dependency>
       <groupId>io.micrometer</groupId>
-      <artifactId>micrometer-registry-prometheus</artifactId>
+      <artifactId>micrometer-registry-prometheus-simpleclient</artifactId>
       <version>${micrometer.version}</version>
     </dependency>