CVE-2024-31457
Təsvir
gin-vue-admin vue və gin əsasında hazırlanmış, tam stekin ön və arxa hissəsini ayıran arxa plan idarəetmə sistemidir. gin-vue-admin psevdoversiyası 0.0.0-20240407133540-7bc7c3051067, 2.6.1 versiyasına uyğun olaraq, backend-də kod inyeksiyası zəifliyinə malikdir. Plugin System -> Plugin Template funksiyasında hücumçu `plugName` parametrini manipulyasiya edərək qovluq keçidini (directory traversal) həyata keçirə bilər. Onlar göstərilən keçid qovluğunda `api`, `config`, `global`, `model`, `router`, `service` kimi xüsusi qovluqları və `main.go` funksiyasını yarada bilərlər. Bundan əlavə, bu qovluqlardakı Go fayllarına xüsusi PoC parametrinə əsasən ixtiyari kod yeridilə bilər. Bu zəifliyin mövcud olmasının əsas səbəbi struktur daxilindəki PlugName sahəsinin idarə oluna bilməsidir. Psevdoversiya 0.0.0-20240409100909-b1b7427c6ea6, b1b7427c6ea6c7a027fa188c6be557f3795e732b commitinə uyğun olaraq, problem üçün yamaq ehtiva edir. Alternativ həll kimi, qovluq keçidi problemini aradan qaldırmaq üçün GitHub Security Advisory-də mövcud olan filtrləmə metodundan əl ilə istifadə etmək olar.
Necə düzəltmək olar
- github.com/flipped-aurora/gin-vue-admin/server0.0.0-20240409100909-b1b7427c6ea6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/flipped-aurora/gin-vue-admin/serverGo | v < 0.0.0-20240409100909-b1b7427c6ea6 | 0.0.0-20240409100909-b1b7427c6ea6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.