CVE-2026-113730

OGNL, Java üçün Object Graph Navigation kitabxanasıdır. 3.4.13 versiyasından əvvəl, OgnlRuntime.invokeMethod funksiyasındakı opsional daha sərt çağırış (stricter-invocation) rejimi OGNL tərəfindən çağırılan metodun təyin edici sinfini yoxlayır, lakin java.lang.reflect.Method, java.lang.reflect.Constructor və ya java.lang.reflect.Field obyektlərini bloklamır. Hücumçu tərəfindən idarə olunan ifadə, bu refleksiya obyektlərindən birini bloklanmış sinifdəki metod üçün proksi kimi çağıra bilər ki, bu da real əməliyyatın yenidən daha sərt çağırış yoxlamasından keçmədən JDK refleksiyası daxilində icrasına səbəb olur. İstismar üçün tətbiqin etibarsız OGNL ifadələrini qiymətləndirməsi, refleksiyaya icazə verən standart və ya buna bənzər geniş icazəli MemberAccess istifadə etməsi və daha sərt çağırışı qum qutusu (sandbox) kimi istifadə etməsi tələb olunur. SecurityMemberAccess ilə birlikdə Apache Struts daxil olmaqla, məhdudlaşdırıcı MemberAccess istifadə edən tətbiqlər bu yan keçməyə məruz qalmırlar. Bu problem 3.4.13 versiyasında düzəldilib.