CVE-2026-113730

OGNL, Java için bir Object Graph Navigation Library'dir. 3.4.13 sürümünden önce, OgnlRuntime.invokeMethod içindeki isteğe bağlı stricter-invocation modu, OGNL tarafından çağrılan metodun tanımlayıcı sınıfını kontrol eder ancak java.lang.reflect.Method, java.lang.reflect.Constructor veya java.lang.reflect.Field sınıflarını engellemez. Saldırgan tarafından kontrol edilen bir ifade, bu yansıma (reflection) nesnelerinden birini engellenmiş bir sınıftaki metodun vekili olarak çağırabilir; bu durum, gerçek işlemin stricter-invocation kontrolünden tekrar geçmeden JDK reflection içerisinde yürütülmesine neden olur. İstismar edilmesi için uygulamanın güvenilmeyen OGNL ifadelerini değerlendirmesi, yansımaya izin veren varsayılan veya benzer şekilde izin verici bir MemberAccess kullanması ve kum havuzu (sandbox) olarak stricter invocation mekanizmasına güvenmesi gerekir. SecurityMemberAccess kullanan Apache Struts dahil olmak üzere kısıtlayıcı bir MemberAccess kullanan uygulamalar bu atlatmadan etkilenmez. Bu sorun 3.4.13 sürümünde düzeltilmiştir.