Text4Shell
CVE-2022-42889 — Codeausführung aus der Ferne in Apache Commons Text durch Skript-Interpolation. ${script:javascript:...} löst die Nashorn-JS-Engine samt Systemaufrufe aus.
Bekanntgegeben im Oktober 2022. Der Name wurde aus Gewohnheit nach Log4Shell und Spring4Shell gewählt. Weit weniger katastrophal — Commons Text ist längst nicht so verbreitet wie Log4j, und die Interpolation bekommt selten nicht vertrauenswürdige Eingaben zu Gesicht. Behoben in Version 1.10.0.