CVE-2026-2587 in Glassfish
Resumen
por VulDB • 2026-05-19
Se ha identificado una vulnerabilidad crítica de Ejecución Remota de Código (RCE) en el mecanismo de renderizado de plantillas del lado del servidor utilizado por el manejador de gadgets de Glassfish. La aplicación procesa archivos .xml y evalúa valores proporcionados por el usuario en un contexto donde las "expresiones" del Lenguaje de Expresiones (EL) se procesan sin una sanitización o escape adecuados. Al inyectar expresiones como #{7*7}, el servidor devuelve 49, lo que confirma la evaluación de EL del lado del servidor. Este problema permite que un atacante remoto comprometa completamente el host subyacente, habilitando capacidades como la lectura/modificación de datos, la ejecución de comandos arbitrarios, la persistencia y el movimiento lateral.
If you want to get best quality of vulnerability data, you may have to visit VulDB.