摘要：Part01漏洞概况Apache软件基金会近日披露了Apache Jackrabbit Core和JCR Commons组件中的一个重要漏洞（编号CVE-2025-58782）。该漏洞影响1.0.0至2.22.1版本，当系统使用JndiRepositoryFa

根据官方邮件列表披露："接受来自不可信用户的JNDI URI进行JCR查找的部署环境，可能允许攻击者注入恶意JNDI引用，通过反序列化不可信数据最终导致任意代码执行。"

漏洞根源在于JCR存储库查找过程中对JNDI URI的处理机制。攻击者通过提供恶意JNDI引用，可触发不可信数据的反序列化操作——这是实现远程代码执行（RCE）的常见途径。

受影响组件包括：

JNDI注入漏洞因其能将查找机制与对象反序列化相连接而臭名昭著，可能导致：

考虑到Jackrabbit广泛应用于企业内容管理(ECM)、网络内容系统和数字体验平台，该漏洞可能对关键业务环境造成连锁影响。

用户应立即升级至2.22.2版本。该版本已默认禁用通过JNDI的JCR查找功能。如需使用此功能的用户需手动启用，并建议严格审查JNDI URI在JCR查找中的使用情况。

参考来源：

CVE-2025-58782: Apache Jackrabbit Vulnerability Exposes Systems to JNDI Injection and RCE

来源：FreeBuf