「XXE Injection対策が行われていないSpring MVC(3.2.4.RELEASE)」という風に具体的なバージョンを入れた方がいいと思います。