通过构造恶意的 XML 数据注入外部实体，从而读取服务器上的敏感信息或导致拒绝服务。
攻击者可上传恶意Groovy脚本执行任意代码，从而获取服务器权限。
经过身份验证的攻击者通过精心构造的 HTTP 请求或 CLI 命令可以在底层系统上执行未经授权的命令。
未经身份验证的攻击者可利用此漏洞执行任意系统命令，最终获取服务器控制权限。
可导致类型混淆实现远程代码执行，进而完全控制用户设备。
代码复用导致不安全的反序列化逻辑被传播到多个项目，并非所有框架均已修复。
通过上传恶意的 Python 插件文件实现远程代码执行。
攻击者通过构造特定的请求冒充管理员用户执行恶意操作，从而获得设备的完全控制权。
可能导致远程代码执行，获取服务器控制权限。
可利用此漏洞完全控制受影响服务器，执行任意系统命令、安装恶意程序、窃取敏感数据或作为跳板进一步渗透内部网络。
攻击者可以利用该漏洞在本地提升权限，可能导致数据泄露、数据篡改或拒绝服务等严重后果。
其中微软产品本身漏洞63个，影响到微软产品的其他厂商漏洞7个。
可能导致数据泄露、数据篡改或服务中断等严重后果。
攻击者可通过暴露的 Actuator 端点，读取目标系统上的环境变量、系统属性等敏感信息。
攻击者可以利用此漏洞植入恶意代码，当其他用户执行插入提示的命令时，恶意代码会被触发，可能导致信息泄露或任意代码执行。
攻击者可以利用此漏洞在服务器上执行任意命令。
导致低权限攻击者可获取高权限用户的资产管理权限并执行恶意操作。
当用户运行 docker compose ps 等命令时，可突破文件系统目录限制创建或覆盖任意文件。
未授权的攻击者通过构造特殊请求可绕过防护，访问敏感目录。
攻击者可以利用该漏洞绕过安全限制，访问受限目录，甚至可能上传恶意文件，导致远程代码执行，从而控制服务器。
微信公众号
