В pgjdbc до 42.3.3 злоумышленник (который контролирует URL-адрес или свойства jdbc) может вызывать java.util.logging.FileHandler для записи…

В pgjdbc до 42.3.3 злоумышленник (который контролирует URL-адрес или свойства jdbc) может вызывать java.util.logging.FileHandler для записи в произвольные файлы через свойства подключения loggerFile и loggerLevel. Примером ситуации является то, что злоумышленник может создать исполняемый JSP-файл в корневом каталоге Tomcat. ПРИМЕЧАНИЕ: позиция поставщика заключается в том, что нет уязвимости pgjdbc; вместо этого это уязвимость для любого приложения использовать драйвер pgjdbc с ненадежными свойствами подключения.