L'iniezione OGNL è una vulnerabilità in cui dati controllati dall'attaccante raggiungono un punto di valutazione di Object-Graph Navigation Language. OGNL viene utilizzato in alcuni framework Java per leggere e scrivere proprietà degli oggetti, chiamare metodi e calcolare valori dinamicamente. Se l'input non è rigorosamente separato dal codice, l'applicazione può interpretare testo ostile come parte di un'espressione invece che come semplice dato.
Questo è importante perché la valutazione delle espressioni può passare dalla semplice gestione dei dati a un potente comportamento a runtime, inclusi l'accesso ai file, la manipolazione degli oggetti o persino l'esecuzione di codice. Negli attacchi reali, l'iniezione OGNL compare spesso in parametri di richiesta, intestazioni, variabili di percorso o campi di messaggio che vengono passati a helper del framework, librerie di tag o logica di routing. Le difese includono evitare la valutazione dinamica di input non fidato, usare allowlist e contesti di espressione rigidi, disabilitare quando possibile le funzionalità rischiose del framework e mantenere aggiornati i componenti del framework. Una configurazione sicura è particolarmente importante nelle applicazioni web legacy che si basano su sistemi di template o di mapping delle azioni.