در چارچوب وب Grails که برای توسعه برنامه های کاربردی وب مطابق با پارادایم MVC در جاوا، Groovy و سایر زبان ها برای JVM طراحی شده است، یک آسیب پذیری شناسایی شده است که به شما امکان می دهد کد خود را از راه دور در محیطی که وب در آن قرار دارد اجرا کنید. برنامه در حال اجرا است این آسیب‌پذیری با ارسال یک درخواست ساخته‌شده خاص که به مهاجم امکان دسترسی به ClassLoader را می‌دهد، مورد سوء استفاده قرار می‌گیرد. مشکل ناشی از نقص در منطق اتصال داده است که هم هنگام ایجاد اشیاء و هم هنگام اتصال دستی با استفاده از bindData استفاده می شود. این مشکل در نسخه های 3.3.15، 4.1.1، 5.1.9 و 5.2.1 حل شد.
علاوه بر این، می‌توانیم آسیب‌پذیری را در ماژول Ruby tzinfo مشاهده کنیم که به شما امکان می‌دهد محتویات هر فایلی را تا جایی که حقوق دسترسی برنامه مورد حمله اجازه می‌دهد دانلود کنید. این آسیب پذیری به دلیل عدم بررسی مناسب برای استفاده از کاراکترهای خاص در نام منطقه زمانی مشخص شده در روش TZInfo::Timezone.get است. این مشکل بر برنامه‌هایی تأثیر می‌گذارد که داده‌های خارجی نامعتبر را به TZInfo::Timezone.get ارسال می‌کنند. به عنوان مثال، برای خواندن فایل /tmp/payload، می توانید مقداری مانند "foo\n/../../../tmp/payload" را تعیین کنید.
منبع: opennet.ru