业务流程引擎表达式注入专项检测报告.docVIP

业务流程引擎表达式注入专项检测报告

一、业务流程引擎表达式注入风险概述

业务流程引擎作为企业数字化转型的核心组件，广泛应用于金融、制造、政务等多个领域，其主要作用是通过可视化的流程设计、自动化的任务调度和灵活的规则配置，实现企业业务流程的高效运转。常见的业务流程引擎包括Activiti、Flowable、Camunda等，这些引擎通常支持使用表达式语言（如OGNL、MVEL、JUEL等）来实现复杂的业务逻辑判断和数据处理。

表达式注入是一种针对业务流程引擎的高危安全漏洞，攻击者通过在流程配置或用户输入中插入恶意表达式，当引擎解析并执行这些表达式时，可绕过权限控制、窃取敏感数据、篡改系统配置甚至执行任意代码，给企业带来严重的安全威胁。近年来，随着业务流程引擎的普及应用，表达式注入漏洞的报道数量呈上升趋势，已成为企业信息安全防护的重点关注对象。

二、专项检测实施背景与范围

（一）实施背景

某大型金融集团在数字化转型过程中，大量采用业务流程引擎实现信贷审批、资金清算、客户服务等核心业务流程的自动化。2025年以来，集团内部安全监测系统多次发现针对业务流程引擎的异常访问行为，虽然未造成实质性的安全事件，但为防范潜在的安全风险，集团信息安全部门决定开展本次业务流程引擎表达式注入专项检测工作，全面排查业务流程引擎的安全状况，及时发现并修复安全漏洞。

（二）检测范围

本次专项检测覆盖集团内部所有