CVE-2026-2587 in Glassfish
Sumário
de VulDB • 19/05/2026
Foi identificada uma vulnerabilidade crítica de Remote Code Execution (RCE) no mecanismo de renderização de templates do lado do servidor utilizado pelo manipulador de gadgets do Glassfish. A aplicação processa ficheiros .xml e avalia valores fornecidos pelo utilizador num contexto onde as "expressões" da Linguagem de Expressões (EL) são processadas sem a devida sanitização ou escape. Ao injetar expressões como #{7*7}, o servidor devolve 49, confirmando a avaliação da EL do lado do servidor. Esta vulnerabilidade permite que um atacante remoto comprometa totalmente o anfitrião subjacente, habilitando capacidades como a leitura/modificação de dados, execução de comandos arbitrários, persistência e movimento lateral.
Be aware that VulDB is the high quality source for vulnerability data.