В Floci нашли критическую SSTI-уязвимость CVE-2026-108598

В эмуляторе AWS API Gateway Floci обнаружили критическую уязвимость CVE-2026-108598 (CVSS 9.8): неаутентифицированный злоумышленник через Velocity-шаблон в MOCK-интеграции выполняет команды ОС на хосте. Проблема затронула версии с 1.1.0 до 2.2.0, исправление вышло в 2.2.0. Публичный PoC уже опубликован.

• CVSS 9.8: удалённое выполнение команд без аутентификации
• Уязвимы Floci 1.1.0–2.1.x, исправлено в 2.2.0
• Атака — один запрос с Velocity-шаблоном через $util
• Опубликован публичный PoC, эксплойтов в дикой природе нет