CVE-2026-28674
Təsvir
xiaoheiFS bulud xidməti biznesləri üçün özünə məxsus maliyyə və əməliyyat sistemidir. 0.3.15 versiyadək olan versiyalarda `AdminPaymentPluginUpload` son nöqtəsi adminlərə `plugins/payment/` qovluğuna istənilən faylı yükləməyə imkan verir. Sistem yalnız sabit şifrəni (`qweasd123456`) yoxlayır və faylın məzmununu nəzərə almır. Daha sonra arxa plan izləyicisi (`StartWatcher`) hər 5 saniyədən bir bu qovluğu skan edir. Əgər yeni icra edilə bilən fayl tapılarsa, onu dərhal işə salır ki, bu da uzaqdan kodun icrasına (RCE) səbəb olur. Versiya 4.0.0 bu problemi aradan qaldırır.
Necə düzəltmək olar
- danvei233 xiaoheifs0.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| danvei233 xiaoheifs | v < 0.4.0 | 0.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.