CVE-2022-44749

KNIME Analytics Platform 3.2.0 və daha yuxarı versiyalarının ZIP arxivinin çıxarılması prosedurlarında mövcud olan kataloq keçidi (directory traversal) zəifliyi istifadəçinin sistemində ixtiyari faylların üzərinə yazılmasına səbəb ola bilər. Bu zəiflik həmçinin 'Zip-Slip' kimi də tanınır. Hücumçu elə bir KNIME iş axını (workflow) yarada bilər ki, həmin iş axını istifadəçi tərəfindən açıldıqda, istifadəçinin yazı icazəsinə malik olduğu ixtiyari faylların üzərinə yazıla bilər. İş axınının icra edilməsi şərt deyil, onun sadəcə açılması kifayətdir. Xəta hesabatı verildiyi üçün istifadəçi problemin olduğunu görəcək, lakin bu, yalnız fayllar artıq yazıldıqdan sonra baş verir. Bu, məlumatların bütövlüyünə təsir göstərə bilər (faylın məzmunu dəyişdirilir) və ya digər proqram təminatlarında xətalara səbəb ola bilər (vacib faylların korlanması). Əgər icra oluna bilən fayllar əvəzlənsə və sonradan istifadəçi tərəfindən icra edilsə, bu, hətta uzaqdan kodun icrasına da gətirib çıxara bilər. Lakin bütün hallarda hücumçu istifadəçinin sistemindəki faylların yerini bilməlidir.