CVE-2025-48734

Резюме

Уязвимость некорректного контроля доступа в Apache Commons. Специальный класс BeanIntrospector был добавлен в версии 1.9.2. Его можно использовать, чтобы помешать злоумышленникам использовать объявленное свойство класса объектов Java enum для получения доступа к загрузчику классов. Однако эта защита не была включена по умолчанию. PropertyUtilsBean (и, как следствие, BeanUtilsBean) теперь по умолчанию запрещает доступ к свойству объявленного класса на уровне класса. Релизы 1.11.0 и 2.0.0-M2 устраняют потенциальную проблему безопасности при неконтролируемом доступе к свойствам enum. Если приложение, использующее Commons BeanUtils, передаёт пути к свойствам из внешнего источника напрямую в метод getProperty() класса PropertyUtilsBean, злоумышленник может получить доступ к загрузчику классов enum через свойство «declaredClass», доступное во всех объектах Java «enum». Доступ к «declaredClass» enum позволяет удалённым злоумышленникам получить доступ к ClassLoader и выполнить произвольный код. Та же проблема существует и в PropertyUtilsBean.getNestedProperty(). Начиная с версий 1.11.0 и 2.0.0-M2 специальный BeanIntrospector подавляет свойство «declaredClass». Обратите внимание, что этот новый BeanIntrospector включён по умолчанию, но вы можете отключить его, чтобы вернуть прежнее поведение; см. раздел 2.5 руководства пользователя и модульные тесты. Эта проблема затрагивает Apache Commons BeanUtils 1.x до версии 1.11.0 и 2.x до версии 2.0.0-M2. Пользователям артефакта commons-beanutils:commons-beanutils 1.x рекомендуется обновиться до версии 1.11.0, которая устраняет проблему. Пользователям артефакта org.apache.commons:commons-beanutils2 2.x рекомендуется обновиться до версии 2.0.0-M2, которая устраняет проблему.

• CVE-2025-48734Эксплойт

  CVE-2025-48734 - Влияет на Apache Commons BeanUtils в версиях до 1.11.0 (и ветки 2.x до 2.0.0-M2).