修复提交： ba9220b22383e430d5f801ce8e4fa01cf9e75f29

漏洞详情

SimpleVectorStore.similaritySearch() 会将调用方提供的过滤器键名原样传入由 StandardEvaluationContext 求值的 SpEL 模板中。由于 StandardEvaluationContext 暴露了完整的 JVM 反射 API，攻击者可以将以下内容注入过滤器键中，从而实现未认证的 OS 命令执行：

绕过细节

直接注入无法开箱即用——需要绕过两个解析器特性：

1. 单引号剥离 — 以 ' 开头的键会被视为带引号的字符串；外层引号会被剥离，从而破坏载荷。
2. 双引号包裹 — 将载荷包裹在 "..." 中会导致解析器剥离外层双引号，使内部 SpEL 表达式作为键值原样保留，并传递给 #metadata['<KEY>']。
3. 空元数据键 — 在注入表达式的两侧使用 #metadata['']（而非未定义变量），可避免 unknown variable 的 SpEL 错误，同时仍能触发 exec()。

最终求值后的表达式形式如下：

成功标志

HTTP 响应体中将包含 EL1030E — SpEL 运行时错误：

该错误在 exec() 返回之后触发，可确认 OS 级命令执行已成功，无需依赖带外回调。

使用方法

前置条件：

运行漏洞利用程序：

Docker Desktop（macOS/Windows）： 回调载荷请使用 host.docker.internal 而非 127.0.0.1。

漏洞利用步骤

该 PoC 按顺序执行五个步骤：

免责声明

本概念验证（PoC）仅供教育和授权安全测试之用。请勿将其用于您不拥有或未经明确书面许可进行测试的系统。