OGNL — contournement du mode d’invocation stricte

Veille sécuritéBackend & données

P4Moyenne

CVE-2026-113730 est un contournement du mode d’invocation stricte d’OGNL impliquant des objets de réflexion Java. Le problème concerne les applications qui évaluent des expressions non fiables et utilisent cette restriction comme bac à sable; la version corrigée est OGNL 3.4.13.

IdentifiantCVE-2026-113730

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.4.13

Source : GHSA-crwc-vw2r-qr6m — OGNL stricter-invocation block list bypass via java.lang.reflect reflection proxies

Analyse technique

Le contrôle ne bloque pas certaines classes de réflexion Java; une expression contrôlée par un attaquant peut alors faire exécuter une opération sans repasser par le contrôle d’invocation stricte.

Impact, versions et correctif

Événement datéL’horodatage fourni pour la publication NVD est 2026-10-20T22:19:30.043Z, soit 2026-10-21T00:19:30.043+02:00, dans la période figée. La source de suivi consultée confirme la description et la correction en 3.4.13.

ImpactUn attaquant pouvant faire évaluer une expression OGNL non fiable peut contourner la restriction d’invocation stricte lorsque la configuration est permissive.

Versions affectéesOGNL antérieur à 3.4.13

Version corrigée3.4.13

ContournementUtiliser un MemberAccess restrictif; les applications utilisant notamment SecurityMemberAccess d’Apache Struts ne sont pas concernées par ce contournement selon la description consultée.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.6

EPSS0,36% · percentile 28,3%

Publication2026-10-20T22:19:30.043Z

Mise à jour2026-10-21T16:31:05Z

Détection / vérification

Vérifier la version de la dépendance OGNL et si l’application évalue des expressions OGNL non fiables avec un MemberAccess permissif.

Action recommandée

Mettre à niveau OGNL vers 3.4.13 ou une version ultérieure.

Sources

Priorisation DFS : P4 · 2 source(s).