Fakebug

Um problema de desserialização remota existe no componente xxl-rpc Listener, especificamente na função `Hessian2Input.readObject()` localizada no arquivo `/serialize/impl/HessianSerializer.java`. A desserialização ocorre quando dados não confiáveis são processados, potencialmente permitindo que um invasor remoto execute ações não autorizadas.

Uma falha de path traversal existe no endpoint `logDetailCat`. O problema reside na função `FileInputStream()` dentro do arquivo `/admin/controller/JobLogController.java`. Um invasor remoto pode explorar isso manipulando o argumento `executorAddress` para acessar arquivos fora do diretório pretendido.

Um problema de path traversal existe no componente Snapshot Endpoint, dentro do arquivo `PlayController.java`. Um invasor remoto pode explorar isso manipulando os argumentos `deviceId` ou `channelId`, permitindo o acesso não autorizado a arquivos ou diretórios no sistema.

Uma falha de path traversal existe no Log File Download Endpoint, dentro do arquivo `LogController.java`. Um invasor remoto pode manipular o argumento `fileName` para acessar arquivos fora do diretório pretendido. Path traversal é uma técnica que permite a um invasor ler arquivos arbitrários no servidor usando caracteres especiais como dot-dot-slash (../) para navegar pelo sistema de arquivos.

Um problema de injeção de comando de SO existe no componente REST API. Atacantes remotos podem explorar isso manipulando o argumento `sqlText` passado para a função `Runtime.exec()`.

Um problema no componente Admin API Endpoint permite a falsificação de requisição do lado do servidor (SSRF), uma condição na qual um invasor pode induzir o servidor a fazer requisições para um local não pretendido. Isso ocorre através da manipulação da função `IotDataSinkHttpConfig` no endpoint '/admin-api/iot/data-sink/create'. O ataque pode ser executado remotamente.

A security flaw exists in FlowCI flow-core-x. The issue resides in the `Save` function within the `core/src/main/java/com/flowci/core/config/service/ConfigServiceImpl.java` file of the SMTP Host Handler component. This manipulation can lead to server-side request forgery, and the attack can be initiated remotely. The exploit is publicly available. The vendor was notified but did not respond.