En sårbarhet har identifierats i Grails webbramverk, designat för att utveckla webbapplikationer i enlighet med MVC-paradigmet i Java, Groovy och andra språk för JVM, som gör att du kan fjärrexekvera din kod i miljön där webben programmet körs. Sårbarheten utnyttjas genom att skicka en specialdesignad begäran som ger angriparen åtkomst till ClassLoader. Problemet orsakas av ett fel i databindningslogiken, som används både när man skapar objekt och när man binder manuellt med bindData. Problemet har åtgärdats i versionerna 3.3.15, 4.1.1, 5.1.9 och 5.2.1.
Dessutom kan vi notera en sårbarhet i tzinfo Ruby-modulen, som tillåter att ladda innehållet i alla filer, så långt som åtkomsträttigheterna för den attackerade applikationen tillåter. Sårbarheten är relaterad till bristen på korrekt kontroll av användningen av specialtecken i tidszonsnamnet som anges i metoden TZInfo::Timezone.get. Problemet påverkar applikationer som skickar ovaliderad extern data till TZInfo::Timezone.get. Till exempel, för att läsa filen /tmp/payload, kan du ange ett värde som "foo\n/../../../tmp/payload".
Källa: opennet.ru