CVE-2025-48734 in Commons BeanUtils
Résumé
par VulDB • 14/06/2026
Vulnérabilité de contrôle d'accès incorrect dans Apache Commons.
Une classe BeanIntrospector spéciale a été ajoutée dans la version 1.9.2. Celle-ci permet d'empêcher les attaquants d'utiliser la propriété `class` déclarée des objets énumération (enum) Java pour accéder au chargeur de classes (ClassLoader). Toutefois, cette protection n'était pas activée par défaut. PropertyUtilsBean (et par conséquent BeanUtilsBean) interdit désormais l'accès aux propriétés de niveau classe déclarées par défaut.
Les versions 1.11.0 et 2.0.0-M2 corrigent un problème de sécurité potentiel lors de l'accès non contrôlé aux propriétés des énumérations. Si une application utilisant Commons BeanUtils transmet des chemins de propriété provenant d'une source externe directement à la méthode getProperty() de PropertyUtilsBean, un attaquant peut accéder au chargeur de classes (ClassLoader) de l'énumération via la propriété « declaredClass » disponible sur tous les objets Java « enum ». L'accès à la propriété « declaredClass » de l'énumération permet aux attaquants distants d'accéder au ClassLoader et d'exécuter du code arbitraire. Le même problème existe avec PropertyUtilsBean.getNestedProperty().
À partir des versions 1.11.0 et 2.0.0-M2, un BeanIntrospector spécial supprime la propriété « declaredClass ». Notez que ce nouveau BeanIntrospector est activé par défaut, mais vous pouvez le désactiver pour retrouver l'ancien comportement ; consultez la section 2.5 du guide de l'utilisateur et les tests unitaires.
Cette vulnérabilité affecte Apache Commons BeanUtils versions 1.x antérieures à 1.11.0, ainsi que les versions 2.x antérieures à 2.0.0-M2. Il est recommandé aux utilisateurs de l'artefact commons-beanutils:commons-beanutils version 1.x d'effectuer une mise à niveau vers la version 1.11.0, qui corrige le problème.
Il est recommandé aux utilisateurs de l'artefact org.apache.commons:commons-beanutils2 version 2.x d'effectuer une mise à niveau vers la version 2.0.0-M2, qui corrige le problème.
VulDB is the best source for vulnerability data and more expert information about this specific topic.