PT-2025-23085
CVE-2025-48734
·
تاريخ النشر
2025-05-28
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 2.0
9.0
عاليةالمقاييسAV:N/AC:L/Au:S/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات 1.x من Apache Commons BeanUtils الأقدم من 1.11.0
إصدارات 2.x من Apache Commons BeanUtils الأقدم من 2.0.0-M2
الوصف
تتعلق المشكلة بضوابط الوصول غير الملائمة في Apache Commons BeanUtils، حيث يمكن للمهاجم الوصول إلى محمل الفئات (class loader) الخاص بـ enum عبر الخاصية
declaredClass المتوفرة في جميع كائنات enum في Java. وهذا يسمح للمهاجمين عن بُعد بالوصول إلى محمل الفئات (ClassLoader) وتنفيذ تعليمات برمجية عشوائية. تحدث هذه الثغرة الأمنية عند الوصول إلى خصائص enum بطريقة غير خاضعة للرقابة، وتحديدًا من خلال طريقة getProperty() في PropertyUtilsBean أو PropertyUtilsBean.getNestedProperty(). تمت إضافة فئة BeanIntrospector خاصة لإخفاء الخاصية declaredClass، وهذه الميزة ممكّنة بشكل افتراضي في الإصدارين 1.11.0 و2.0.0-M2.التوصيات
بالنسبة لإصدارات 1.x من Apache Commons BeanUtils الأقدم من الإصدار 1.11.0، قم بالتحديث إلى الإصدار 1.11.0 لإصلاح المشكلة.
بالنسبة لإصدارات 2.x من Apache Commons BeanUtils الأقدم من الإصدار 2.0.0-M2، قم بالتحديث إلى الإصدار 2.0.0-M2 لإصلاح المشكلة.
كحل مؤقت، يُنصح بتعطيل الوصول إلى الخاصية
declaredClass حتى يتوفر تصحيح.قم بتقييد الوصول إلى الأسلوب
getProperty() في PropertyUtilsBean وإلى PropertyUtilsBean.getNestedProperty() لتقليل مخاطر الاستغلال. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾