хз, на счёт sqli, и не помню чтоб такое дисклоузили, а вот xxe там пофиксили 2 месяца назад...

опять же это то, что из открытого