A razão que você ouve bastante sobre erros usando C é porque é uma linguagem extremamente popular, usada em muitos sistemas e bibliotecas importantes em que alguns erros fáceis de cometor podem ser convertidos em vulnerabilidades (acesso a vetor out of bounds, "dangling pointers", etc).
Dito isso, uma vulnerabilidade é qualquer coisa que um adversário possa usar contra o seu sistema, o que é algo extremamente amplo e que pode ocorer com qualquer sistema independente de qual linguagem for usada em sua implementação.
Um exemplo simples que podemos são vulnerabilidades de injeção de código, como o SQL injection. Por exemplo, suponha que eu tenha uma pagina web em que o usuário digita o nome de um país e o sistema responde com o número de gols que esse pais marcou na copa do mundo. Se meus dados estiverem num banco relacional eu vou ter que preparar uma pergunta para o banco similar à seguinte:
pergunta = "SELECT gols FROM tabela_copa WHERE pais='Brasil';"
gols = bandoDeDados.executar(pergunta)
A maneira ingênua de passar o país escolhido pelo usuário é usar concatenação ou interpolação de strings:
pais = entrada_do_usuario()
pergunta = "SELECT gols FROM tabela_copa WHERE pais='" + pais + "';"
gols = bandoDeDados.executar(pergunta)
Agora, o que ocorre se o usuário digitar o seguinte "país" no campo de busca?
'; DROP TABLE tabela_copa
O comando gerado vai ser
SELECT gols FROM tabela_copa WHERE pais='';
DROP TABLE tabela_copa;
E vamos deletar todos os nossos dados do banco. Basicamente, nós demos uma brecha para que o usuário executasse SQL em nosso banco de dados em nosso nome e o banco de dados, que confia em nós, executou os comandos cegamente.
A execução de código SQL não é uma vulnerabilidade tão direta como um defeito de buffer overflow mas ainda assim é uma forma de escalação de privilégios e execução remota de código. Problemas similares de injeção de código também são muito comuns em outros contextos:
- Manuseios incorreto de dados de usuário em páginas HTML pode levar vulnerabilidades XSS (cross site scripting).
- Servidores avaliando dados do código do usuário como código. Por exemplo, em PHP isso pode ocorrer em expressões regulares com o modificador /e
- Phreaking, uma técnica envolvendo uma série de assobios precisos que os primeiros Hackers usavam para falar de graça no orelhão.
Bem, alguem pode chagar agora e dizer que esses bugs são culpa do programador e não da linguagem. Mas é verdade? Já cansei de ouvir gente usando esse mesmo argumento para defender C ("se você nunca acessasse vetores fora dos limites, não teria que se preocupar com overflow") e é perfeitamente possível que a linguagem ou sistema te protejam dessas vulnerabilidades. Por exemplo, se usássemos um tipos de dados separados para HTML e strings provenientes do usuário não seria possível tratar valores do usuário como HTML. A única maneira de passar uma string para o documento HTML é primeiro passá-la pela função de escape. Similarmente, é possível evitar injeção de SQL se o tipo de dados usado para descrever comandos SQL não suportar a operação de concatenação.
Quanto às vulnerabilidades de Java ou Flash no browser, o principal problema é que esses sistemas são grandes e inevitavelmente conterão bugs, que virão à tona quando esses sistemas tiverem de lidar com entradas hostis de usuários maliciosos na internet. Por exemplo, algumas versões do plugin flash (implementado em C++) davam um stack overflow quando tentavam ler certos arquivos swf corrompidos e algumas versões da JVM permitiam que applets maliciosas escalassem seus privilágios e escapassem do sandbox seguro.