Vulnerabilidad en Apache Commons Text (CVE-2022-42889)

Apache Commons Text lleva a cabo una interpolación de variables, permitiendo que las propiedades sean evaluadas y expandidas dinámicamente. El formato estándar para la interpolación es "${prefix:name}", donde "prefix" es usado para localizar una instancia de org.apache.commons.text.lookup.StringLookup que lleva a cabo la interpolación. A partir de la versión 1.5 y hasta 1.9, el conjunto de instancias de Lookup por defecto incluía interpoladores que podían dar lugar a una ejecución de código arbitrario o al contacto con servidores remotos. Estos lookups son: - "script" - ejecuta expresiones usando el motor de ejecución de scripts de la JVM (javax.script) - "dns" - resuelve registros dns - "url" - carga valores de urls, incluso de servidores remotos Las aplicaciones usando los interpoladores por defecto en las versiones afectadas pueden ser vulnerables a una ejecución de código remota o al contacto involuntario con servidores remotos si son usados valores de configuración que no son confiables. Es recomendado a usuarios actualizar a Apache Commons Text versión 1.10.0, que deshabilita los interpoladores problemáticos por defecto