CVE-2025-48734

ملخص

ثغرة التحكم غير السليم في الوصول في Apache Commons. تمت إضافة فئة BeanIntrospector خاصة في الإصدار 1.9.2. يمكن استخدامها لمنع المهاجمين من استخدام خاصية الفئة المعلنة لكائنات Java enum للوصول إلى محمّل الفئات (classloader). ومع ذلك، لم يتم تمكين هذا الحماية افتراضيًا. الآن يمنع PropertyUtilsBean (وبالتالي BeanUtilsBean) الوصول إلى خاصية مستوى الفئة المعلنة افتراضيًا. يعالج الإصداران 1.11.0 و2.0.0-M2 مشكلة أمنية محتملة عند الوصول إلى خصائص enum بطريقة غير خاضعة للرقابة. إذا كان تطبيق يستخدم Commons BeanUtils يمرر مسارات الخصائص من مصدر خارجي مباشرة إلى طريقة getProperty() الخاصة بـ PropertyUtilsBean، يمكن للمهاجم الوصول إلى محمّل فئات الـ enum عبر خاصية "declaredClass" المتوفرة في جميع كائنات Java "enum". الوصول إلى "declaredClass" الخاص بالـ enum يسمح للمهاجمين عن بُعد بالوصول إلى ClassLoader وتنفيذ تعليمات برمجية عشوائية. توجد نفس المشكلة في PropertyUtilsBean.getNestedProperty(). بدءًا من الإصدارين 1.11.0 و2.0.0-M2، تعمل فئة BeanIntrospector خاصة على قمع خاصية "declaredClass". لاحظ أن فئة BeanIntrospector الجديدة هذه مفعّلة افتراضيًا، ولكن يمكنك تعطيلها لاستعادة السلوك القديم؛ راجع القسم 2.5 من دليل المستخدم واختبارات الوحدة. تؤثر هذه المشكلة على Apache Commons BeanUtils 1.x قبل 1.11.0، و2.x قبل 2.0.0-M2. يُنصح مستخدمو القطعة commons-beanutils:commons-beanutils 1.x بالترقية إلى الإصدار 1.11.0، الذي يصلح المشكلة. يُنصح مستخدمو القطعة org.apache.commons:commons-beanutils2 2.x بالترقية إلى الإصدار 2.0.0-M2، الذي يصلح المشكلة.

• CVE-2025-48734استغلال

  CVE-2025-48734 - يؤثر على Apache Commons BeanUtils في الإصدارات السابقة للإصدار 1.11.0 (وفرع 2.x قبل 2.0.0-M2).