Не успели мы еще обновить Log4j на пропатченую, как вдруг - новый сюрприз.

На этот раз дыра в самом спринге, немного описания на опеннет.
Инфы пока не очень много, непонятно действительно ли все так плохо, но будем наблюдать.