Dans le framework Web Grails, conçu pour développer des applications Web conformément au paradigme MVC en Java, Groovy et d'autres langages pour la JVM, une vulnérabilité a été identifiée qui vous permet d'exécuter à distance votre code dans l'environnement dans lequel le Web l'application est en cours d'exécution. La vulnérabilité est exploitée en envoyant une requête spécialement conçue qui donne à l'attaquant l'accès au ClassLoader. Le problème est dû à une faille dans la logique de liaison de données, qui est utilisée à la fois lors de la création d'objets et lors de la liaison manuelle à l'aide de bindData. Le problème a été résolu dans les versions 3.3.15, 4.1.1, 5.1.9 et 5.2.1.
De plus, on peut noter une vulnérabilité dans le module Ruby tzinfo, qui permet de télécharger le contenu de n'importe quel fichier, dans la mesure où les droits d'accès de l'application attaquée le permettent. La vulnérabilité est due au manque de vérification appropriée de l'utilisation de caractères spéciaux dans le nom du fuseau horaire spécifié dans la méthode TZInfo::Timezone.get. Le problème affecte les applications qui transmettent des données externes non validées à TZInfo :: Timezone.get. Par exemple, pour lire le fichier /tmp/payload, vous pouvez spécifier une valeur telle que "foo\n/../../../tmp/payload".
Source: opennet.ru