CVE-2023-54402
Təsvir
iDocView proqramının /doc/upload son nöqtəsində (endpoint), autentifikasiyadan yan keçmək üçün sabitləşdirilmiş standart token dəyərinin (testtoken) təqdim edilməsi ilə uzaqdakı autentifikasiya olunmamış hücumçulara ixtiyari URL-ləri çağırmağa imkan verən server tərəfli sorğu saxtakarlığı (SSRF) zəifliyi mövcuddur. Hücumçular, file:// URI-ləri də daxil olmaqla məhdudiyyətsiz URL sxeminin idarəetməsindən istifadə edərək əməliyyat sistemi və tətbiq konfiqurasiya faylları kimi ixtiyari lokal faylları oxuya bilər, həmçinin digər yollarla əlçatan olmayan daxili şəbəkə hostlarına və xidmətlərinə çata bilərlər. İstismar sübutları ilk dəfə 2024-03-26 tarixində Shadowserver Foundation tərəfindən müşahidə edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| iDocView iDocView | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.