CVE-2022-42889: Apache Commons Text 执行变量插值，允许属性被动态求值与展开（Text4Shell）
摘要
Apache Commons Text 执行变量插值，允许属性被动态求值与展开。插值的标准格式为 "${prefix:name}"，其中 "prefix" 用于定位执行插值的 org.apache.commons.text.lookup.StringLookup 实例。从 1.5 版本到 1.9 版本，默认 Lookup 实例集合中包含了可能导致任意代码执行或与远程服务器通信的插值器，包括："script"（使用 JVM 脚本执行引擎 javax.script 执行表达式）、"dns"（解析 DNS 记录）、"url"（从 URL 加载值，包括远程服务器）。在受影响版本中使用插值默认值的应用，若使用不可信的配置值，可能存在远程代码执行或无意中与远程服务器通信的风险。建议用户升级到 Apache Commons Text 1.10.0，该版本默认禁用了有问题的插值器。
为什么重要
CRITICAL 严重性，CVSS 9.8 。
当前状态
- 漏洞状态： 未列入 CISA KEV
- 最近情报更新： 2026-06-17 · 来源: NVD
实体活动时间线
- 2022-10-13 — NVD 发布/披露
- 2026-06-17 — 情报记录更新（NVD 同步）
严重性
CRITICAL
CVSS 评分： 9.8
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
来源归属
来源： NVD · 更新： 2026-06-17T05:05:31.850 · 置信度： high
影响
基于 CVSS 向量： CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — 请通过官方向量文档评估机密性、完整性与可用性影响。
受影响软件
修复
将受影响软件升级至上述修复版本。在暴露系统尚未修补前，请应用厂商补丁并持续跟踪安全公告。
来源与证据
- http://packetstormsecurity.com/files/171003/OX-App-Suite-Cross-Site-Scripting-Server-Side-Request-Forgery.html
- http://packetstormsecurity.com/files/176650/Apache-Commons-Text-1.9-Remote-Code-Execution.html
- http://seclists.org/fulldisclosure/2023/Feb/3
- http://www.openwall.com/lists/oss-security/2022/10/13/4
- http://www.openwall.com/lists/oss-security/2022/10/18/1
- https://lists.apache.org/thread/n2bd4vdsgkqh2tm14l1wyc3jyol7s1om
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0022
- https://security.gentoo.org/glsa/202301-05
- https://security.netapp.com/advisory/ntap-20221020-0004/
- http://packetstormsecurity.com/files/171003/OX-App-Suite-Cross-Site-Scripting-Server-Side-Request-Forgery.html
- http://packetstormsecurity.com/files/176650/Apache-Commons-Text-1.9-Remote-Code-Execution.html
- http://seclists.org/fulldisclosure/2023/Feb/3
- http://www.openwall.com/lists/oss-security/2022/10/13/4
- http://www.openwall.com/lists/oss-security/2022/10/18/1
- https://lists.apache.org/thread/n2bd4vdsgkqh2tm14l1wyc3jyol7s1om
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0022
- https://security.gentoo.org/glsa/202301-05
- https://security.netapp.com/advisory/ntap-20221020-0004/
导出威胁情报
下载符合 OASIS STIX 2.1 规范的威胁情报包（JSON），可导入 MISP / OpenCTI 等 TAXII 平台
开始调查
从阅读转向调查 CVE-2022-42889: Apache Commons Text 执行变量插值，允许属性被动态求值与展开（Text4Shell）。工作区是结构化的分析界面——不是聊天——组织为：
- 问题 — 你需要了解 CVE-2022-42889: Apache Commons Text 执行变量插值，允许属性被动态求值与展开（Text4Shell） 的什么？
- 证据 — 与可验证来源对应的断言。
- 时间线 — 按时间顺序排列的事件。
- 相关实体 — CVE、威胁行为体、攻击活动、恶意软件链接。
- 来源 — NVD、CISA KEV、MITRE ATT&CK、厂商公告。
- 笔记 — 你自己的观察与工作假设。
AI 辅助仅限于摘要、解释与建议相关证据。AI 绝不完成你的调查、修改实体关系或生成事实——所有已发布分析均经人工复核。
推荐工具
- CVE 查询 打开完整 CVE 记录——严重性、CVSS、受影响产品、CISA KEV 与参考来源。 打开 CVE 记录
所有工具均在被动或本地运行——输入永不存储，也不会扫描任何目标。 针对该实体开始调查 →