Ve webovém frameworku Grails, určeném pro vývoj webových aplikací v souladu s paradigmatem MVC v jazyce Java, Groovy a dalších jazycích pro JVM, byla nalezena zranitelnost, která umožňuje vzdálené spuštění vlastního kódu v prostředí, ve kterém webová aplikace běží. Zneužití zranitelnosti se provádí zasláním speciálně formátovaného požadavku, který útočníkovi poskytuje přístup k ClassLoaderu. Problém je způsoben nedostatkem v logice datového spojování (data-binding), které se používá jak při vytváření objektů, tak při ručním spojování pomocí bindData. Problém byl vyřešen ve verzích 3.3.15, 4.1.1, 5.1.9 a 5.2.1.
Dále lze zmínit zranitelnost v Ruby modulu tzinfo, která umožňuje načíst obsah jakéhokoli souboru, pokud to umožňují přístupová práva napadené aplikace. Zranitelnost souvisí s nedostatečnou kontrolou používání speciálních znaků v názvu časového pásma zadaného metodou TZInfo::Timezone.get. Problém se týká aplikací, které předávají do TZInfo::Timezone.get neověřená externí data. Například pro čtení souboru /tmp/payload lze zadat hodnotu, jako je „foo\n/../../../../tmp/payload“.
Zdroj: opennet.ru
