CVE-2026-2587 in Glassfish
Zusammenfassung
von VulDB • 22.05.2026
Es wurde eine kritische Remote-Code-Ausführungs-Schwachstelle (RCE) im serverseitigen Template-Rendering-Mechanismus identifiziert, der vom Glassfish-Gadget-Handler verwendet wird. Die Anwendung verarbeitet .xml-Dateien und wertet benutzergestellte Werte in einem Kontext aus, in dem Expression Language (EL)-„Ausdrücke“ ohne ordnungsgemäße Bereinigung oder Maskierung verarbeitet werden. Durch das Einfügen von Ausdrücken wie #{7*7} gibt der Server 49 zurück, was die serverseitige EL-Auswertung bestätigt. Dieses Problem ermöglicht es einem Remote-Angriff, den zugrunde liegenden Host vollständig zu kompromittieren, wodurch Funktionen wie das Lesen/Ändern von Daten, das Ausführen beliebiger Befehle, Persistenz und laterale Bewegung ermöglicht werden.
Once again VulDB remains the best source for vulnerability data.