PT-2020-6435

CVE-2021-28170

Publicado

2020-04-14

Atualizado

2022-04-25

Descrição por

CVSS 3.1

5.3

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Implementação da Jakarta Expression Language versão 3.0.3 e anteriores

Descrição

O problema está relacionado a um bug na função ELParserTokenManager da implementação da Jakarta Expression Language, que permite que expressões EL inválidas sejam avaliadas como se fossem válidas. Isso pode, potencialmente, permitir que um invasor remoto comprometa a integridade dos dados ao explorar a vulnerabilidade.

Recomendações

Para a implementação da Jakarta Expression Language versão 3.0.3 e anteriores, no momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Explorabilidade

Exploit

Impactos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-917: Improper Neutralization of Special Elements used in an Expression Language Statement (\'Expression Language Injection\')

CWE-20: Improper Input Validation

Identificadores relacionados

CVE-2021-28170

BDU:2021-04679

GHSA-V6W3-2PRQ-H95F