CVE-2026-2586

经过身份验证的GlassFish EL注入RCE（CVE-2026-2586） GlassFish管理控制台中存在一个表达式语言注入漏洞，允许经过身份验证的用户将恶意的EL表达式注入到管理Web界面处理的参数中。成功利用该漏洞可能导致在受影响服务器上远程执行命令。 该漏洞在服务器虚拟配置编辑流程中被发现，在此流程中，用户可控的参数被应用程序不安全地解释。 原因如下： 管理界面在处理EL表达式时使用了用户可控的参数。 输入在后端解释之前未经过适当的验证或清理。 管理控制台中经过身份验证的用户可以滥用此漏洞行为来调用Java类和方法。...