В общем, справочное руководство по безопасности Spring ответит на этот вопрос. Например, в руководстве для Spring Security 5.2.5 RELEASE говорится:
Spring Security строится на основе Spring Framework 5.2.6.RELEASE, но, как правило, должно работать с любой более новой версией Spring Framework 5.x.
(Следующий выпуск Spring Security после 5.2.5 - 5.3.0.)
Так что я бы ожидал Spring Security 5.2.5 будет работать с Spring Framework 5.2.8.
Справочное руководство по безопасности Spring также советует вам использовать «spring-framework-bom» для упрощения управления зависимостями. Идея состоит в том, что вы выбираете конкретную c "bom" версию, которая дает вам набор совместимых номеров версий для любого из компонентов Spring, которые вы используете.