쿠키 및 CSRF 토큰 유지 여부 검사 스크립트 추가:

- 새로운 익명 세션에서 두 서버 간 응답 비교 기능 구현
- Python 기반 검사기 `cookie.py` 작성 및 주요 옵션 제공

build.gradle

@@ -87,6 +87,10 @@ dependencies {
     implementation('org.springframework.boot:spring-boot-starter-thymeleaf') {
         exclude group: 'org.thymeleaf.extras', module: 'thymeleaf-extras-java8time'
     }
+    // WW-5417 관련 public 필드 접근 권한 검사 누락 수정(OGNL #264/#265).
+    // 3.3.x EOL 계열의 단기 조치. 3.4.x는 Thymeleaf 3.1.5의 OgnlContext 생성자와 비호환.
+    // 일반 OGNL 경로도 ThymeleafExpressionCompatibilityTest로 검증한다(Spring EL만으로는 확인 불가).
+    implementation 'ognl:ognl:3.3.5'
     implementation 'org.springframework.boot:spring-boot-starter-security'
     implementation('org.springframework.boot:spring-boot-starter-cache')
     implementation 'org.springframework.boot:spring-boot-starter-data-jpa'
@@ -190,13 +194,13 @@ ext {
     // 2.18.x 마지막 패치를 쓴다.
     set('jackson-bom.version', '2.18.10')
 
-    // Thymeleaf SSTI (≤3.1.3.RELEASE: 표현식 접근 객체 제한 우회 → 템플릿 인젝션). 3.0.x 는 EOL 이라
-    // 백포트가 없어 3.1.4 로 올린다. JDK8/Spring5 유지: thymeleaf 3.1.4 / thymeleaf-spring5 3.1.4 /
-    // extras-springsecurity5 3.1.5 / layout-dialect 3.4.0 모두 Java8 바이트코드(major 52), 패키지도
-    // org.thymeleaf.spring5 + javax.servlet 그대로다.
-    // Boot 2.7 ThymeleafAutoConfiguration 이 호출하는 setter 는 3.1.4 에 전부 존재함(확인함).
+    // CVE-2026-41901: ≤3.1.4의 제한된 표현식 구문 검사 우회(SSTI)를 3.1.5에서 수정.
+    // Boot 의존성 관리로 core/spring5를 함께 맞추며 Java8 / Spring5 / javax.servlet을 유지한다.
+    // extras-springsecurity5 3.1.5 / layout-dialect 3.4.0은 유지.
+    // ThymeleafBootMvcCompatibilityTest가 Boot 2.7 자동 구성 엔진·ViewResolver의 초기화,
+    // MVC 폼·레이아웃·보안 표시를 검증한다. 실제 WAS 기동/재배포 검증은 별도 배포 조건이다.
     // 주의: 3.1 은 #request/#session/#response/#servletContext 표현식 객체를 제거했다(IllegalArgumentException).
-    set('thymeleaf.version', '3.1.4.RELEASE')
+    set('thymeleaf.version', '3.1.5.RELEASE')
     set('thymeleaf-extras-springsecurity.version', '3.1.5.RELEASE')
 
     // Spring Framework 5.3.x OSS 마지막 릴리스로 통일(Boot 2.7.18 BOM 기본 5.3.31, 일부 5.3.30 혼재였음).