Vo webovom frameworku Grails, ktorý je určený na vývoj webových aplikácií podľa paradigmatu MVC v jazyku Java, Groovy a iných jazykoch pre JVM, bola zistená zraniteľnosť, ktorá umožňuje vzdialene vykonať vlastný kód v prostredí, v ktorom beží webová aplikácia. Využitie zraniteľnosti sa uskutočňuje cez odoslanie špeciálne formátovanej požiadavky, ktorá poskytuje útočníkovi prístup k ClassLoader. Problém je spôsobený nedostatkom v logike viazania údajov (data-binding), ktorá sa používa pri vytváraní objektov ako aj pri ručnom viazaní pomocou bindData. Problém bol odstránený v vydaniach 3.3.15, 4.1.1, 5.1.9 a 5.2.1.
Naviac je možné poznamenať zraniteľnosť v Ruby module tzinfo, ktorá umožňuje načítať obsah akéhokoľvek súboru, ak to dovoľujú prístupové práva napadnutej aplikácie. Zraniteľnosť súvisí s absenciou riadneho overovania špeciálnych znakov v názve časového pásma, ktoré je špecifikované v metóde TZInfo::Timezone.get. Problém sa týka aplikácií, ktoré prenášajú neoverené externé dáta do TZInfo::Timezone.get. Napríklad, na čítanie súboru /tmp/payload je možné zadať hodnotu, ktorá vyzerá ako „foo\n/../..../tmp/payload“.
Zdroj: opennet.ru
