Improper Input Validation in Jakarta Expression Language

TRUNG BÌNH 5.3CVE-2021-28170 · GHSA-v6w3-2prq-h95f · Công bố 26/05/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-28170 là lỗ hổng mức TRUNG BÌNH (CVSS 5.3) ảnh hưởng com.sun.el:el-ri, org.glassfish:jakarta.el, org.glassfish:javax.el.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.1%, cao hơn 82.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 3.0.4, 2.3.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
com.sun.el:el-ri Maven	`< 3.0.4`	`3.0.4`
org.glassfish:jakarta.el Maven	`< 3.0.4`	`3.0.4`
org.glassfish:javax.el Maven	`≤ 3.0.1-b12`	Chưa có bản vá
jakarta expression language eclipse	`≤ 3.0.3`	Chưa có bản vá
communications cloud native core policy oracle	`= 1.14.0`	Chưa có bản vá
weblogic server oracle	`= 14.1.1.0.0`	Chưa có bản vá
quarkus quarkus	`< 2.3.0`	`2.3.0`

Mô tả

In the Jakarta Expression Language implementation 3.0.3 and earlier, a bug in the ELParserTokenManager enables invalid EL expressions to be evaluated as if they were valid.

Mô tả của NVD

In the Jakarta Expression Language implementation 3.0.3 and earlier, a bug in the ELParserTokenManager enables invalid EL expressions to be evaluated as if they were valid.

Tham khảo

nvd.nist.gov/vuln/detail/CVE-2021-28170 · ADVISORY
eclipse-ee4j/el-ri · WEB
eclipse-ee4j/el-ri#160 · WEB
eclipse-ee4j/el-ri · PACKAGE
security.snyk.io/vuln/SNYK-JAVA-ORGGLASSFISH-1297098 · WEB
security.snyk.io/vuln/SNYK-JAVA-ORGGLASSFISH-2841368 · WEB
securitylab.github.com/advisories/GHSL-2020-021-jakarta-el · ADVISORY
oracle.com/security-alerts/cpuapr2022.html · WEB
securitylab.github.com/advisories/GHSL-2020-021-jakarta-el · Exploit

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí

Tóm tắt nhanh

CVE-2021-28170 là lỗ hổng mức TRUNG BÌNH (CVSS 5.3) ảnh hưởng com.sun.el:el-ri, org.glassfish:jakarta.el, org.glassfish:javax.el.

Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.1%, cao hơn 82.0% các lỗ hổng khác.

Cách xử lý: cập nhật lên 3.0.4, 2.3.0 hoặc mới hơn.

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

com.sun.el:el-ri

Maven

< 3.0.4

3.0.4

org.glassfish:jakarta.el

Maven

< 3.0.4

3.0.4

org.glassfish:javax.el

Maven

≤ 3.0.1-b12

Chưa có bản vá

jakarta expression language

eclipse

≤ 3.0.3

Chưa có bản vá

communications cloud native core policy

oracle

= 1.14.0

Chưa có bản vá

weblogic server

oracle

= 14.1.1.0.0

Chưa có bản vá

quarkus

< 2.3.0

2.3.0

Mô tả

In the Jakarta Expression Language implementation 3.0.3 and earlier, a bug in the ELParserTokenManager enables invalid EL expressions to be evaluated as if they were valid.

Mô tả của NVD

In the Jakarta Expression Language implementation 3.0.3 and earlier, a bug in the ELParserTokenManager enables invalid EL expressions to be evaluated as if they were valid.