Java、Groovy、および JVM 用のその他の言語で MVC パラダイムに従って Web アプリケーションを開発するために設計された Grails Web フレームワークに、Web 環境でリモートからコードを実行できる脆弱性が確認されました。アプリケーションが実行中です。 この脆弱性は、攻撃者に ClassLoader へのアクセスを与える特別に作成されたリクエストを送信することによって悪用されます。 この問題は、オブジェクトの作成時と、bindData を使用して手動でバインドする際の両方で使用されるデータ バインディング ロジックの欠陥によって発生します。 この問題はリリース 3.3.15、4.1.1、5.1.9、および 5.2.1 で解決されました。
さらに、Ruby モジュール tzinfo に脆弱性があることも確認できます。この脆弱性により、攻撃されたアプリケーションのアクセス権が許可する限り、あらゆるファイルのコンテンツをダウンロードできます。 この脆弱性は、TZInfo::Timezone.get メソッドで指定されたタイム ゾーンの名前での特殊文字の使用が適切にチェックされていないことが原因で発生します。 この問題は、未検証の外部データを TZInfo::Timezone.get に渡すアプリケーションに影響します。 たとえば、ファイル /tmp/payload を読み取るには、「foo\n/../../../tmp/payload」のような値を指定できます。
出所： オープンネット.ru