CVE-2022-23512

Yüksək

Təsvir

MeterSphere açıq mənbəli hərtərəfli davamlı test platformasıdır. 2.4.1-dən əvvəlki versiyalar ApiTestCaseService::deleteBodyFiles funksiyasında Yol İnyeksiyası zəifliyinə malikdir: bu funksiya istifadəçi tərəfindən idarə olunan sətir tipli id parametrini qəbul edir və onu ApiTestCaseService-ə ötürür; həmin xidmət istifadəçinin təqdim etdiyi dəyəri (testId) new File(BODY_FILE_DIR + "/" + testId) ifadəsində istifadə edir və sonradan həmin fayl file.delete() ilə silinir. URL-ə bəzi kamuflyaj parametrləri əlavə etməklə hücumçu serverdəki faylları hədəf ala bilər. Zəiflik v2.4.1 versiyasında düzəldilmişdir.

CiddilikYüksək

CVSS7.7

İstismar ehtimalı—

MəhsulMetersphere

Dərc14 dek 2022

İlk görülmə14 dek 2022

Zəiflik növüCWE-22Kataloq keçidi (path traversal)

Necə düzəltmək olar

Yeniləyin

metersphere metersphere2.4.1 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
metersphere metersphere	v < 2.4.1	2.4.1

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.