R1Ckyz

A injeção de código remoto é possível através do componente JSP File Handler. A função `update()` no arquivo `org/codelibs/fess/app/web/admin/design/AdminDesignAction.java` não manipula adequadamente o argumento `content`, permitindo que um invasor remoto injete código malicioso.

O Ladybug é uma ferramenta que adiciona depuração baseada em mensagens, testes unitários, de sistema e de regressão a aplicações Java. O software contém os endpoints de API `/iaf/ladybug/api/report/{storage}` e `/iaf/ladybug/api/report/upload`, que permitem o upload de arquivos XML compactados com gzip com conteúdo controlável pelo usuário. O sistema desserializa esses arquivos XML, potencialmente permitindo que um atacante obtenha Execução Remota de Código (RCE) ao enviar payloads XML especialmente elaborados e obter acesso ao servidor alvo. Os parâmetros vulneráveis são o conteúdo dos arquivos XML carregados.

Existe uma falha na plataforma lsfusion que permite path traversal. Este problema afeta a função `UploadFileRequestHandler` localizada no arquivo `platform/web-client/src/main/java/lsfusion/http/controller/file/UploadFileRequestHandler.java`. A manipulação do argumento `sid` pode resultar em acesso não autorizado. O ataque pode ser realizado remotamente e o exploit está disponível publicamente.

Existe uma falha na plataforma lsfusion que permite a travessia de caminho. Este problema está relacionado à função `unpackFile` localizada no arquivo server/src/main/java/lsfusion/server/physics/dev/integration/external/to/file/ZipUtils.java. A manipulação desta função pode levar ao acesso não autorizado. Este ataque pode ser iniciado remotamente.

Existe uma falha no Dromara dataCompare relacionada ao componente JDBC URL Handler. O problema está localizado na função `DbConfig` do arquivo `src/main/java/com/vince/xq/project/system/dbconfig/service/DbconfigServiceImpl.java`. A manipulação desta função pode levar a uma injeção, e o ataque pode ser executado remotamente. Um exploit para este problema foi publicado.

Existe uma vulnerabilidade de segurança no wwwlike vlife que permite traversal de caminho. A vulnerabilidade está localizada na função `create` dentro do arquivo `vlife-base/src/main/java/cn/wwwlike/sys/api/SysFileApi.java` do componente `VLifeApi`. A manipulação do argumento `fileName` permite exploração remota. O exploit para esta vulnerabilidade foi divulgado publicamente.

Existe uma falha na plataforma lsfusion que permite path traversal. Este problema afeta a função `DownloadFileRequestHandler` localizada no arquivo web-client/src/main/java/lsfusion/http/controller/file/DownloadFileRequestHandler.java. A manipulação do argumento `Version` pode levar à exploração. O exploit foi divulgado publicamente.

A deserialization vulnerability existed when dubbo generic invoke, which could lead to malicious code execution. The issue is related to the mechanism of deserialization in the Apache Dubbo RPC framework, allowing a remote attacker to execute arbitrary code.