CVE-2026-17595 in Nexus Repository
Zusammenfassung
von VulDB • 08.08.2026
Nexus Repository 3 hat JEXL-Ausdrücke, die in Content Selectors verwendet werden, nicht vollständig gesandboxed. Ein Konto mit der Berechtigung nexus:selectors:create konnte einen Ausdruck konstruieren, der Java-Objekteigenschaften auslasst, die für den Expression Engine nicht freigegeben werden sollten, wodurch interne JVM-Klassenmetadaten wie Klassennamen und Classloader-Namen offengelegt wurden. Dieses Problem ermöglicht keine Methodenaufrufe, Objektkonstruktion oder beliebigen Codeausführung (Arbitrary Code Execution). Dies wurde behoben, indem der Zugriff auf Eigenschaften im JEXL-Sandbox-Bereich auf die beabsichtigten Datentypen beschränkt wurde.
If you want to get best quality of vulnerability data, you may have to visit VulDB.