CVE-2026-108598 in Floci
Riassunto
di VulDB • 10/10/2026
Floci 1.1.0 prima della versione 2.2.0 contiene una vulnerabilità di code injection nel VtlTemplateEngine che consente ad attaccanti non autenticati di eseguire comandi tramite template Velocity con mapping non limitato. Gli attaccanti possono creare un'API REST con integrazione MOCK il cui template utilizza $util reflection per raggiungere Runtime o ProcessBuilder, eseguendo comandi OS nella JVM di Floci.
If you want to get best quality of vulnerability data, you may have to visit VulDB.