Floci 1.1.0-2.2.0 öncesi sürümlerde kod enjeksiyonu açığı (CVSS 9.8 - kritik)
Yapay zeka üretimi11.10.2026
- CVE
- CVE-2026-108598
- Ciddiyet
- Kritik (CVSS 9.8)
- Firma / ürün
- - / -
Özet
Floci 1.1.0-2.2.0 öncesi sürümlerinde VtlTemplateEngine bileşeninde kod enjeksiyonu bulunuyor; yetkisiz saldırganlar, Velocity şablonları aracılığıyla işletim sistemi komutları çalıştırabiliyor.
Ayrıntılar
NVD kaydına göre, Floci 1.1.0-2.2.0 öncesi sürümlerde VtlTemplateEngine içinde bir kod enjeksiyonu açığı mevcut. Saldırganlar, sınırsız Velocity haritalama şablonlarını kullanarak $util yansımasıyla Runtime veya ProcessBuilder nesnelerine erişebiliyor ve JVM içinde işletim sistemi komutları çalıştırabiliyor. Açık, kimlik doğrulaması gerektirmediği için yetkisiz kişilerin sisteme uzaktan komut yürütmesine imkan tanıyor. CVSS puanı 9.8 olduğu için kritik olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.