CVE-2026-108598 in Floci
Zusammenfassung
von VulDB • 10.10.2026
Floci 1.1.0 vor 2.2.0 enthält eine Code-Injection-Schwachstelle (Code Injection) im VtlTemplateEngine, die es nicht authentifizierten Angreifern ermöglicht, Befehle über unbeschränkte Velocity-Mapping-Vorlagen auszuführen. Angreifer können eine REST-API mit einer MOCK-Integration erstellen, deren Vorlage $util-Reflexion nutzt, um auf Runtime oder ProcessBuilder zuzugreifen und OS-Befehle in der Floci-JVM auszuführen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.