发布于 evan 通过 Fulldisclosure，9 月 26 日 摘要：openEQUELLA 中存在一个经过身份验证的反序列化漏洞，攻击者可注入 SignedObject 载荷，解包该 SignedObject，创建 LDAP 回调并返回 JNR 响应，从而诱使服务器执行任意代码。与此汇点（sink）相伴的还存在一个 SSTI 漏洞。 https://blog.evan.lat/posts/openeq/ openEQUELLA 是一个用于教育材料的“开源数字存储库”，在澳大利亚大学中广泛使用……