PT-2022-3045

CVE-2022-22980

Publicado

2022-06-21

Atualizado

2022-06-30

Descrição por

CVSS 3.1

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Spring Data MongoDB (versões afetadas não especificadas)

Descrição

O problema está relacionado a erros no processamento de expressões SpEL, que podem ser explorados por um invasor remoto para executar código arbitrário ao enviar uma solicitação SpEL especialmente criada. Isso pode ocorrer ao usar métodos de consulta anotados com @Query ou @Aggregation com expressões SpEL que contenham placeholders de parâmetros de consulta para vinculação de valores, caso a entrada não seja sanitizada.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Explorabilidade

Exploit

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-917: Improper Neutralization of Special Elements used in an Expression Language Statement (\'Expression Language Injection\')

Identificadores relacionados

CVE-2022-22980

BDU:2022-03714