一、漏洞概述

        Spring Data for MongoDB是 Spring Data 项目的一部分，该项目旨在为新的数据存储提供熟悉和一致的基于Spring的编程模型，同时保留存储的特定特征和功能。

        6月20日，VMware发布安全公告，修复了Spring Data MongoDB中的一个SpEL 表达式注入漏洞（CVE-2022-22980），该漏洞的CVSSv3评分为8.2。

        Spring Data MongoDB应用程序在对包含查询参数占位符的SpEL表达式使用@Query或@Aggregation注解的查询方法进行值绑定时，如果输入未被过滤，则容易受到SpEL注入攻击。

二、影响版本

Spring Data MongoDB 3.4.0

Spring Data MongoDB 3.3.0 - 3.3.4

以及其它旧的、不受支持的版本。

三、漏洞分析

环境搭建: