JNDI查找地址注入 - 缺陷编码

类型: 安全缺陷

在程序使用不受信任的数据作为JNDI查找的地址，JNDI会将特定地址对象返回，这可能导致攻击者远程运行任意Java代码。

String address = request.getParameter("address");
...
InitialContext initialContext = new InitialContext(props);
initialContext.lookup(address);