CVE-2026-108598 · CVSS 9.8 · Floci 1.1.0 before 2.2.0 contains a code injection vulnerability in VtlTemplateEngine that allows unauthenticated attackers to execute …

NVD (CVSS crítico) · 10 oct, 21:16

Floci 1.1.0 a 2.1.x contiene una vulnerabilidad de inyección de código en VtlTemplateEngine que permite a atacantes no autenticados ejecutar comandos del sistema operativo mediante plantillas Velocity sin restricciones. Los atacantes pueden crear una API REST con integración MOCK cuya plantilla utiliza reflexión $util para acceder a Runtime o ProcessBuilder, ejecutando comandos en la JVM de Floci.