I webframeworket Grails, som er designet til at udvikle webapplikationer i henhold til MVC-paradigmet på Java, Groovy og andre sprog til JVM, er der opdaget en sårbarhed, der giver mulighed for at eksekvere sin egen kode eksternt i det miljø, hvor webapplikationen kører. Udsættelsen af sårbarheden sker gennem afsendelse af en specielt formuleret anmodning, der giver angriberen adgang til ClassLoader. Problemet skyldes en fejl i logikken for data-binding, der anvendes både ved oprettelse af objekter og ved manuel binding ved hjælp af bindData. Problemet er blevet løst i versionerne 3.3.15, 4.1.1, 5.1.9 og 5.2.1.
Derudover kan man bemærke en sårbarhed i Ruby-modulet tzinfo, der tillader indlæsning af indholdet af en hvilken som helst fil, så langt som adgangsrettighederne for den angrebne applikation tillader det. Sårbarheden er knyttet til manglende korrekt kontrol af brug af specialtegn i navnet på den timezone, der angives i metoden TZInfo::Timezone.get. Problemet påvirker applikationer, der sender ubehandlede eksterne data til TZInfo::Timezone.get. For eksempel kan man angive et værdi som "foo\n/..../..../..../tmp/payload" for at læse filen /tmp/payload.
Kilde: opennet.ru
