CVE-2025-48734

总结

Apache Commons 中存在不正确的访问控制漏洞。在 1.9.2 版本中添加了一个特殊的 BeanIntrospector 类。该类可用于阻止攻击者利用 Java 枚举对象的声明类属性来访问类加载器。然而，此保护默认并未启用。PropertyUtilsBean（以及随之而来的 BeanUtilsBean）现在默认禁止访问声明级别的类属性。1.11.0 和 2.0.0-M2 版本解决了以不受控制的方式访问枚举属性时可能存在的安全问题。如果使用 Commons BeanUtils 的应用程序将来自外部源的属性路径直接传递给 PropertyUtilsBean 的 getProperty() 方法，攻击者便可通过所有 Java “enum” 对象上可用的 “declaredClass” 属性访问枚举的类加载器。访问枚举的 “declaredClass” 允许远程攻击者访问 ClassLoader 并执行任意代码。PropertyUtilsBean.getNestedProperty() 也存在同样的问题。从 1.11.0 和 2.0.0-M2 版本开始，一个特殊的 BeanIntrospector 会抑制 “declaredClass” 属性。请注意，这个新的 BeanIntrospector 默认启用，但您可以禁用它以恢复旧行为；请参阅用户指南第 2.5 节和单元测试。此问题影响 Apache Commons BeanUtils 1.11.0 之前的 1.x 版本，以及 2.0.0-M2 之前的 2.x 版本。建议使用 commons-beanutils:commons-beanutils 1.x 工件的用户升级到修复了该问题的 1.11.0 版本。建议使用 org.apache.commons:commons-beanutils2 2.x 工件的用户升级到修复了该问题的 2.0.0-M2 版本。

• CVE-2025-48734漏洞利用

  CVE-2025-48734 - 影响 Apache Commons BeanUtils 在 1.11.0 之前的版本（以及 2.0.0-M2 之前的 2.x 分支）