CVE-2020-10199分析,Nexus Repository Manager

介绍:Nexus Repository Manager是一个maven管理功能系统

影响版本:Nexus Repository Manager up to 3.21

漏洞类型:EL绕过注入,可执行代码

所有漏洞来源于AbstractGroupRespositorApiResource抽象方法

可以追溯到validateMember方法,如下图所示,产生的问题也是来源于。自定义校验方法, context.buildConstraintViolationWithTemplate(bean.getMessage()); 此方法,若无过滤可以执行EL参数
进入createViolation方法,其实他接受的是HelperBean的violation,也就是一个bean,他里面用到了自定义校验方法,自定义注解@Helperannotation自定义了校验方法,向上抛出violation,而此message是第一张图片传入的,所以可控
©著作权归作者所有,转载或内容合作请联系作者
【社区内容提示】社区部分内容疑似由AI辅助生成,浏览时请结合常识与多方信息审慎甄别。
平台声明:文章内容(如有图片或视频亦包括在内)由作者上传并发布,文章内容仅代表作者本人观点,简书系信息发布平台,仅提供信息存储服务。

相关阅读更多精彩内容

友情链接更多精彩内容