https://blog.qife122.com/tags/groovy/ Recent content in Groovy on 办公AI智能小助手 Hugo zh-cn qife Sun, 02 Nov 2025 16:03:13 +0800 https://blog.qife122.com/p/apache-syncope%E5%AD%98%E5%9C%A8groovy%E4%BB%A3%E7%A0%81%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E6%81%B6%E6%84%8F%E7%AE%A1%E7%90%86%E5%91%98%E5%8F%AF%E8%BF%9C%E7%A8%8B%E6%89%A7%E8%A1%8C%E4%BB%A3%E7%A0%81/ Sun, 02 Nov 2025 16:03:13 +0800 https://blog.qife122.com/p/apache-syncope%E5%AD%98%E5%9C%A8groovy%E4%BB%A3%E7%A0%81%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E6%81%B6%E6%84%8F%E7%AE%A1%E7%90%86%E5%91%98%E5%8F%AF%E8%BF%9C%E7%A8%8B%E6%89%A7%E8%A1%8C%E4%BB%A3%E7%A0%81/ <h2 id="漏洞详情">漏洞详情</h2> <p><strong>包名</strong>: maven:org.apache.syncope.core:syncope-core-spring (Maven)</p> <p><strong>受影响版本</strong>:</p> <ul> <li>&lt; 3.0.14</li> <li> <blockquote> <p>= 4.0.0-M0, &lt; 4.0.2</p> </blockquote> </li> </ul> <p><strong>已修复版本</strong>:</p> <ul> <li>3.0.14</li> <li>4.0.2</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Apache Syncope 提供了通过自定义Java接口实现来扩展/定制基础行为的能力；此类实现可以通过Java或Groovy类提供，后者特别具有吸引力，因为其机制支持运行时重新加载。</p> https://blog.qife122.com/p/apache-syncope%E5%AD%98%E5%9C%A8groovy%E4%BB%A3%E7%A0%81%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E6%81%B6%E6%84%8F%E7%AE%A1%E7%90%86%E5%91%98%E5%8F%AF%E8%BF%9C%E7%A8%8B%E6%89%A7%E8%A1%8C%E4%BB%A3%E7%A0%81/ Thu, 23 Oct 2025 18:25:55 +0800 https://blog.qife122.com/p/apache-syncope%E5%AD%98%E5%9C%A8groovy%E4%BB%A3%E7%A0%81%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E6%81%B6%E6%84%8F%E7%AE%A1%E7%90%86%E5%91%98%E5%8F%AF%E8%BF%9C%E7%A8%8B%E6%89%A7%E8%A1%8C%E4%BB%A3%E7%A0%81/ <h1 id="apache-syncope允许恶意管理员注入groovy代码">Apache Syncope允许恶意管理员注入Groovy代码</h1> <h2 id="漏洞详情">漏洞详情</h2> <p>Apache Syncope提供了通过自定义Java接口实现来扩展/定制基础行为的能力。此类实现可以通过Java或Groovy类提供，其中Groovy类特别具有吸引力，因为其机制支持运行时重载。</p> https://blog.qife122.com/p/groovy%E6%B2%99%E7%AE%B1%E9%80%83%E9%80%B8%E5%AE%9E%E6%88%98%E4%BB%8E1-1%E5%88%B0650%E7%BE%8E%E5%85%83%E6%BC%8F%E6%B4%9E%E6%8C%96%E6%8E%98/ Sat, 11 Oct 2025 21:02:09 +0800 https://blog.qife122.com/p/groovy%E6%B2%99%E7%AE%B1%E9%80%83%E9%80%B8%E5%AE%9E%E6%88%98%E4%BB%8E1-1%E5%88%B0650%E7%BE%8E%E5%85%83%E6%BC%8F%E6%B4%9E%E6%8C%96%E6%8E%98/ <h1 id="当11变成650美元groovy沙箱逃逸实战">当&quot;1+1&quot;变成650美元——Groovy沙箱逃逸实战</h1> <h2 id="为什么写这篇文章">为什么写这篇文章？</h2> <p>我喜欢讲述那些有趣但不会造成世界末日的漏洞故事。这个漏洞感觉是一个很好的组合：推理过程直接明了，沙箱失效的方式很微妙，而且具有教育意义，因为它展示了当你忘记考虑类加载器和反射时，黑名单是多么脆弱。</p>