Descripción
Floci 1.1.0 before 2.2.0 contains a code injection vulnerability in VtlTemplateEngine that allows unauthenticated attackers to execute commands via unrestricted Velocity mapping templates. Attackers can create a REST API with a MOCK integration whose template uses $util reflection to reach Runtime or ProcessBuilder, executing OS commands in the Floci JVM.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- floci Afectadas: 1.1.0 y anteriores a 2.2.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/floci-io/floci/security/advisories/GHSA-3p4c-wp7w-mgjx
- Exploit publicadogithub.com/ghostx-86/exploitarium/tree/main/floci-apigateway-vtl-rce-…
- Parchegithub.com/floci-io/floci/commit/144b90e6fa861a5ac882e99a090d503da019…
- Referencia en github.comgithub.com/floci-io/floci/releases/tag/2.2.0
- Referencia en github.comgithub.com/floci-io/floci/blob/560b3e4aae61cea3ac7d4d51843bdffd0e3085…
- Referencia en github.comgithub.com/floci-io/floci
- Aviso de vulncheck.comvulncheck.com/advisories/floci-1.1.0-before-2.2.0-rce-via-api-gateway…