CVE-2025-46295: RCE no Apache Commons Text exige atualização
Foi divulgada uma falha de execução remota de código (RCE) no Apache Commons Text, identificada como CVE-2025-46295. A vulnerabilidade está ligada ao mecanismo de interpolação inseguro do componente e afeta versões anteriores à 1.10.0.
Descrição técnica resumida
Segundo divulgação reproduzida pelo veículo, o mecanismo de interpolação do Commons Text pode avaliar expressões e referenciar dados externos dinamicamente. Quando uma aplicação processa entrada controlada por usuário sem sanitização adequada e a passa à API de substituição de texto, é possível que um payload malicioso dispare execução arbitrária de código ou interaja com recursos remotos.
Produtos e versões impactadas
A biblioteca Apache Commons Text em versões anteriores a 1.10.0 é indicada como vulnerável. O texto também aponta impacto transitivo em produtos que embutem o componente: a Claris (FileMaker Server) confirmou mitigação aplicando uma versão corrigida em FileMaker Server 22.0.4.
Correção e ações recomendadas
O componente foi atualizado para a série 1.14.0 no ecossistema; o comunicado refere que a correção consiste em atualizar para uma versão segura do Commons Text e mitigar usos inseguros da interpolação em código que processe entradas externas. A Claris reconheceu e creditou um pesquisador anônimo que reportou a falha.
- Priorizar atualização de dependências para Apache Commons Text 1.14.0 ou posterior.
- Executar varreduras de dependência (SBOM/Dependency Scan) para localizar projetos que transitivamente incluam versões vulneráveis.
- Revisar pontos de uso da API de interpolação e bloquear avaliação de expressões ou referências externas em entradas não confiáveis.
- Em produtos de terceiros (ex.: FileMaker Server), aplicar as versões fornecidas pelo fabricante (ex.: FileMaker Server 22.0.4) que incluam a mitigação.
Implicações de supply chain
A descoberta evidencia riscos de dependências transitivas em cadeias de software modernas: componentes aparentemente utilitários podem introduzir vulnerabilidades críticas em aplicações maiores. Equipes de segurança devem incorporar verificações de composição de software nas rotinas de patch e CI/CD.
Limitações das informações disponíveis
O sumário público indica a existência da RCE e as ações corretivas já disponibilizadas, mas não fornece score CVSS explícito no texto reproduzido, nem exemplos de exploração ativa em campo. Dada a natureza RCE e a ampla adoção da biblioteca, o recomendado é tratar o item como de alta prioridade até que mais contexto de risco e exploração seja consolidado.