CVE-2022-22980
يكون تطبيق Spring Data MongoDB عرضةً لحقن SpEL عند استخدام طرق استعلام مُعلَّمة بـ @Query أو @Aggregation تحتوي على تعبيرات SpEL تتضمّن عناصر نائبة لمعاملات...
- تم النشر
- 22/06/2022
- محدث
- 03/08/2024
- تخصيص CNA
- vmware
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمتوسط · الثلاثين يومًا القادمة
- المئوية
- 97.1%
- تاريخ الموديل
- 13/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
يكون تطبيق Spring Data MongoDB عرضةً لحقن SpEL عند استخدام طرق استعلام مُعلَّمة بـ @Query أو @Aggregation تحتوي على تعبيرات SpEL تتضمّن عناصر نائبة لمعاملات الاستعلام بغرض ربط القيم، إذا لم تتم عملية تطهير المدخلات.
المصادر
- CVE-2022-22980استغلال
استغلال CVE-2022-22980
[CVE-2022-22980] حقن تعبير SpEL في Spring Data MongoDB
إثبات مفهوم لاستغلال CVE-2022-22980، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد في Spring Data MongoDB عبر حقن SpEL في معلمة اسم المستخدم.
# بيئة PoC معزولة عبر Docker لـ CVE-2022-22980 (حقن SpEL في Spring Data MongoDB) مع استغلال عملي يوضح تنفيذ الأوامر عن بُعد عبر طلبات HTTP مصممة خصيصًا.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.