Аутентифицированное выполнение кода через EL-инъекцию в GlassFish (CVE-2026-2586)

Уязвимость инъекции выражений EL в консоли администрирования GlassFish позволяет аутентифицированному пользователю внедрять вредоносные EL-выражения в параметры, обрабатываемые административным веб-интерфейсом. Успешная эксплуатация может привести к удаленному выполнению команд на затронутом сервере.

Уязвимость была обнаружена в процессе редактирования виртуальной конфигурации сервера, где контролируемые пользователем параметры небезопасно интерпретируются приложением.

Это происходит из-за того, что:

• Административный интерфейс обрабатывает контролируемые пользователем параметры в EL-выражениях.
• Вводные данные не проходят должную проверку или нейтрализацию перед интерпретацией бэкендом.
• Аутентифицированный пользователь в консоли администрирования может злоупотребить уязвимым поведением для вызова классов и методов Java.
• В сценарии успешной эксплуатации злоумышленник с действительными учетными данными может выполнять команды на базовой операционной системе.

Затронутый компонент

| - | - | | Продукт: | GlassFish / Payara Консоль администрирования | | CVE: | CVE-2026-2586 | | Тип: | Инъекция выражений EL | | Воздействие: | Аутентифицированное удаленное выполнение кода | | Вектор: | Административный веб-интерфейс |

Доказательство концепции

Тест был выполнен в локальной и контролируемой среде.

CVE-2026-2586.py --url https://glassfish:4848/ --user <USERNAME> --password <PASSWORD> --lhost 127.0.0.1 --lport 4444 --insecure

Уязвимый URL:

https://glassfish:4848/web/configuration/virtualServerEdit.jsf?name=server&configName=server-config&alertType=success&alertSummary=PAYLOAD&alertDetail=&bare=true

Правовая информация

ТОЛЬКО ДЛЯ АВТОРИЗОВАННОГО ИСПОЛЬЗОВАНИЯ. DeepSecurity Perú не одобряет несанкционированный доступ и не несет ответственности за любое неправомерное использование предоставленной информации.