CVE-2026-2587Glassfish gadget handler中存在严重的远程代码执行漏洞。该漏洞源于服务器端模板渲染机制在处理.xml文件时，未对用户提供的值进行适当的清理或转义，直接在表达式语言(EL)上下文中求值。攻击者可通过注入恶意EL表达式（如#{7*7}）触发漏洞，导致服务器返回计算结果，进而完全控制主机，实现数据读写、任意命令执行及横向移动，安全风险极高。
该漏洞核心在于Glassfish gadget handler处理服务器端模板渲染时的逻辑缺陷。应用程序在解析.xml文件时，错误地将用户可控的输入数据置于表达式语言(EL)的执行上下文中，且未实施必要的转义或沙箱隔离机制。攻击者可利用此特性，构造形如#{...}的恶意表达式。例如，注入#{7*7}会导致服务器端计算并返回49，证实了EL注入点。利用此漏洞，攻击者可以进一步构造复杂的payload，通过EL表达式访问Java类库，执行如Runtime.getRuntime().exec()等系统命令，实现远程代码执行，进而获取服务器完全控制权。