نقص امنیتی در مترجم Express Language شرکتهای فرعی Paypal
یک محقق امنیت هندی به نام ملک پیوش، نقص امنیتی در Express Language شرکت زونگ، که یک شرکت تابعه از پی پال میباشد را کشف کرده است. وی بیان میکند که این آسیب پذیری به هکر اجازه میدهد داده هایی را که به مترجم EL منتقل میشود کنترل کند.
ملک در پست وبلاگ خود بیان میکند که شرکت زونگ در حال اجرا یک نسخه قدیمی Clearspace در زیر دامنه خود میباشد.
Clearspace یک ابزار مدیریت دانش است و با چارچوب یکپارچه ای برنامه نویسی شده است. الگویEL با تگهای Spring JSP مورد استفاده قرار میگیرد که Clearspace را به این اشکال آسیب پذیر میسازد.
او دو حالت را در وب سایت مربوطه کشف کرده است که در معرض این مشکل قرار دارند. وی قادر به انجام برخی از عملیات محاسباتی با استفاده از زمینههای این آسیب پذیری نیز بوده است.
یکی از آدرسهای آسیب پذیر به شرح ذیل میباشد:
https://clearspace.zong.com/login!input.jspa?unauth=${custom command here}
شرکت Paypal جایزه ای را برای یافتههای این مححقق هندی در نظر گرفته است، اما وی مقدار آن را فاش نمیکند./
