ភាពងាយរងគ្រោះនៅក្នុងក្របខ័ណ្ឌបណ្តាញ Grails និងម៉ូឌុល TZInfo Ruby

នៅក្នុងក្របខណ្ឌបណ្តាញ Grails ដែលត្រូវបានរចនាឡើងសម្រាប់បង្កើតកម្មវិធីគេហទំព័រដោយអនុលោមតាមគំរូ MVC នៅក្នុង Java, Groovy និងភាសាផ្សេងទៀតសម្រាប់ JVM ភាពងាយរងគ្រោះមួយត្រូវបានគេកំណត់អត្តសញ្ញាណដែលអនុញ្ញាតឱ្យអ្នកប្រតិបត្តិកូដរបស់អ្នកពីចម្ងាយនៅក្នុងបរិយាកាសដែលគេហទំព័រ។ កម្មវិធីកំពុងដំណើរការ។ ភាពងាយរងគ្រោះត្រូវបានកេងប្រវ័ញ្ចដោយការផ្ញើសំណើដែលបង្កើតជាពិសេសដែលផ្តល់ឱ្យអ្នកវាយប្រហារចូលទៅកាន់ ClassLoader ។ បញ្ហាគឺបណ្តាលមកពីកំហុសនៅក្នុងតក្កវិជ្ជាចងទិន្នន័យ ដែលត្រូវបានប្រើទាំងនៅពេលបង្កើតវត្ថុ និងនៅពេលចងដោយដៃដោយប្រើ bindData ។ បញ្ហាត្រូវបានដោះស្រាយនៅក្នុងការចេញផ្សាយ 3.3.15, 4.1.1, 5.1.9, និង 5.2.1។

លើសពីនេះ យើងអាចកត់សម្គាល់ពីភាពងាយរងគ្រោះនៅក្នុងម៉ូឌុល Ruby tzinfo ដែលអនុញ្ញាតឱ្យអ្នកទាញយកមាតិកានៃឯកសារណាមួយ ដរាបណាសិទ្ធិចូលប្រើរបស់កម្មវិធីដែលត្រូវបានវាយប្រហារអនុញ្ញាត។ ភាពងាយរងគ្រោះគឺដោយសារតែខ្វះការត្រួតពិនិត្យត្រឹមត្រូវសម្រាប់ការប្រើប្រាស់តួអក្សរពិសេសនៅក្នុងឈ្មោះតំបន់ពេលវេលាដែលបានបញ្ជាក់នៅក្នុងវិធីសាស្ត្រ TZInfo::Timezone.get ។ បញ្ហានេះប៉ះពាល់ដល់កម្មវិធីដែលបញ្ជូនទិន្នន័យខាងក្រៅដែលមិនមានសុពលភាពទៅ TZInfo::Timezone.get ។ ឧទាហរណ៍ ដើម្បីអានឯកសារ /tmp/payload អ្នកអាចបញ្ជាក់តម្លៃដូចជា "foo\n/../../../tmp/payload" ។

ប្រភព: opennet.ru