CVE-2026-17595
Təsvir
Nexus Repository 3-də Content Selector-larda istifadə olunan JEXL ifadələri tam şəkildə təcrid edilməmişdir (sandbox). nexus:selectors:create icazəsinə malik olan hesab, ifadə mühərriki üçün nəzərdə tutulmayan Java obyekt xüsusiyyətlərini oxuyan bir ifadə quraraq, sinif və classloader adları kimi daxili JVM sinif meta məlumatlarını üzə çıxara bilərdi. Bu problem metod çağırışına, obyekt yaradılmasına və ya ixtiyari kodun icrasına imkan vermir. Problem, JEXL sandbox-unda xüsusiyyət girişinin yalnız nəzərdə tutulan məlumat tipləri ilə məhdudlaşdırılması ilə həll edilmişdir.
Necə düzəltmək olar
- sonatype nexus_repository_manager3.95.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sonatype nexus_repository_manager | 3.15.0 ≤ v < 3.95.0 | 3.95.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.