CVE-2025-53192 in Commons OGNL
Tóm tắt
Bởi VulDB • 12/06/2026
** KHÔNG ĐƯỢC HỖ TRỢ KHI GÁN ** Lỗ hổng Xử lý không đúng các dấu phân cách Biểu thức/Lệnh trong Apache Commons OGNL.
Vấn đề này ảnh hưởng đến Apache Commons OGNL: tất cả các phiên bản.
Khi sử dụng API `Ognl.getValue`, công cụ OGNL sẽ phân tích cú pháp và đánh giá biểu thức được cung cấp với các khả năng mạnh mẽ, bao gồm truy cập và gọi các phương thức liên quan, v.v. Mặc dù `OgnlRuntime` cố gắng hạn chế một số lớp và phương thức nguy hiểm nhất định (chẳng hạn như `java.lang.Runtime`) thông qua danh sách chặn (blocklist), nhưng những hạn chế này không toàn diện. Kẻ tấn công có thể vượt qua các hạn chế bằng cách tận dụng các đối tượng lớp không nằm trong phạm vi của danh sách chặn và tiềm năng đạt được việc thực thi mã tùy ý.
Vì dự án này đã ngừng phát triển, chúng tôi không lên kế hoạch phát hành một phiên bản sửa chữa lỗ hổng này. Người dùng nên tìm giải pháp thay thế hoặc hạn chế quyền truy cập vào thể hiện (instance) chỉ dành cho những người dùng đáng tin cậy.
LƯU Ý: Lỗ hổng này chỉ ảnh hưởng đến các sản phẩm đã không còn được nhà bảo trì hỗ trợ nữa.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.