В качестве временной меры для защиты рекомендуется использоват | letsCode Channel

В качестве временной меры для защиты рекомендуется использовать в коде чёрный список недопустимых параметров запроса:

import org.springframework.core.Ordered;
import org.springframework.core.annotation.Order;
import org.springframework.web.bind.WebDataBinder;
import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.InitBinder;

@ControllerAdvice
@Order(10000)
public class BinderControllerAdvice {
@InitBinder
public void setAllowedFields(WebDataBinder dataBinder) {

String[] denylist = new String[]{"class.", "Class.", ".class.", ".Class."};

dataBinder.setDisallowedFields(denylist);
}
}