Expression Language Injection (EL): SpEL, OGNL ,MVEL e RCE Java

Sat, 14 Mar 2026 00:00:00 +0000

Se la SSTI colpisce i template engine Python/PHP/Node, la Expression Language Injection è il suo equivalente nel mondo Java — e ha un track record di devastazione che include il data breach di Equifax del 2017: 143 milioni di americani, causato da una OGNL Injection in Apache Struts2. Una delle più grandi violazioni di dati nella storia.

L’EL Injection nel pentesting Java è una delle vulnerabilità più redditizie su applicazioni enterprise: porta a RCE pre-auth, spesso in meno di 15 minuti, su sistemi con accesso diretto a database, LDAP e Active Directory. La trovo nel 6% dei pentest su applicazioni Java enterprise — specialmente Spring Boot con SpEL esposto, e sistemi legacy Struts2 non patchati.

El on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Expression Language Injection (EL): SpEL, OGNL ,MVEL e RCE Java