Re[4]: Из-за чего весь сыр-бор: про уязвимость Text4Shell
От: · Великобритания  
Дата: 01.11.22 17:29
Оценка: +1 :)
Здравствуйте, Sinclair, Вы писали:

S>·>Программист ожидал, что будет работать только ${username}, а оказывается можно и запихать ${script:<code>}.

S>Я так понял, что в жабе такие диверсии в порядке вещей.
Фиг знает причём тут жаба. Могу предположить, что жаба — основной язык больших ентерпрайзных монстров, которые пилятся десятилетиями толпами индусов и там такие решения подходят из-за своей простоты побыстрому всё наколбасить и свалить.

S>Возникает вопрос: а там вменяемые движки интерполяции вообще существуют, или каждый автор считает своим долгом впендюрить туда remote execution?

Существуют, конечно. Но это же нужно аккуратно выбирать. А тут apache commons, суют в каждый второй проект, т.к. практически стандартная свалка для всяких популярных фич уровня left-pad. Ну и запихали маленький всемогучий интерполятор...
но это не зря, хотя, может быть, невзначай
гÅрмония мира не знает границ — сейчас мы будем пить чай
 
Подождите ...
Wait...
Пока на собственное сообщение не было ответов, его можно удалить.