CVE-2025-34030
Təsvir
sar2html versiya 3.2.2 və daha əvvəlki versiyalarda index.php faylındakı plot parametri vasitəsilə ƏMƏLİYYAT sistemi əmrinin inyeksiyası zəifliyi mövcuddur. Tətbiq istifadəçi tərəfindən təmin edilən giriş məlumatlarını sistem səviyyəli kontekstdə istifadə etməzdən əvvəl təmizləmir. Uzaqdakı autentifikasiya olunmamış hücumçular xüsusi hazırlanmış GET sorğusunda plot parametrinə shell əmrlərini əlavə etməklə (məsələn, ?plot=;id) onları inyeksiya edə bilərlər. Əmrin nəticəsi host seçimi interfeysi ilə qarşılıqlı əlaqədən sonra tətbiqin interfeysində göstərilir. Zəifliyin uğurlu istismarı altda yatan sistemdə ixtiyari əmrlərin icrasına gətirib çıxarır. İstismar sübutları Shadowserver Foundation tərəfindən 2025-02-04 UTC tarixində müşahidə edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sar2html sar2html | v ≤ 3.2.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.