velocity是最常用的展示层模板文件，由于性能优秀，极多的企业级java web应用，都使用了这个模板。
通常在使用的时候，会和其他框架结合，最常见的框架是struts2、spring mvc等框架。
模板的扩展名为“vm”，开发人员在配置时，经常需要让框架解析“vm”扩展名。
这时velocity官方，给出了标准配置，就在showcase中，指导大家配置vm文件的servlet为VelocityLayoutServlet。
如果按照velocity的官方标配，就会产生这个漏洞（velocity-tools-2.0大家可以下载它的showcase，直接跑起来）。[……]
月度存档: 8月 2011
VELOCITY本地代码执行漏洞
作者: 空虚浪子心 日期: 2011 年 08 月 28 日 没有评论 | 10,145 views
WEBWORK框架XSLTResult本地文件代码执行漏洞
作者: 空虚浪子心 日期: 2011 年 08 月 08 日 没有评论 | 82,584 views
很熟悉的名字吧？
和上一篇原理一样
《struts2框架XSLTResult本地文件代码执行漏洞》
http://inbreak.net/archives/319
但是由于并非同一处代码导致，所以我另写了一篇。[……]
struts2框架XSLTResult本地文件代码执行漏洞
作者: 空虚浪子心 日期: 2011 年 08 月 08 日 没有评论 | 11,631 views
这是个没有人公布过的漏洞，偶尔看代码发现的。事实上，这段代码用的人不多，需要同时满足两个情况，才可以搞。我猜测，发出struts2远程代码执行的那个大牛，不可能没发现这么弱智的漏洞。所以，要么是有原因不能公布，要么就是卖了，那就好，这次我首发，哈哈哈！[……]