CVE-2026-33130
Təsvir
Uptime Kuma açıq mənbəli, özünə aid host edilən monitorinq alətidir. 1.23.0 və 2.2.0 versiyaları arasında GHSA-vffh-c9pq-4crh vasitəsilə tətbiq edilən düzəliş Server-side Template Injection (SSTI) hücumlarının qarşısını tam şəkildə almır. Liquid mühərrikinə əlavə edilmiş üç yüngülləşdirmə tədbiri (root, relativeReference, dynamicPartials) yalnız dırnaq işarələri içində olan yolları bloklayır. Əgər layihədə dırnaqsız mütləq yol istifadə olunursa, hücumçular hələ də serverdəki istənilən faylı oxuya bilərlər. notification-provider.js faylındakı orijinal düzəliş yalnız LiquidJS-in fayl həllinin ilk iki mərhələsini (root, relativeReference və dynamicPartials seçimləri vasitəsilə) məhdudlaşdırır, lakin üçüncü mərhələ olan liquid.node.js-dəki require.resolve() ehtiyat variantında heç bir məhdudiyyət yoxdur ki, bu da /etc/passwd kimi dırnaqsız mütləq yolların uğurla həll olunmasına imkan verir. Dırnaqlı yolların bloklanması yalnız hərfi dırnaq simvollarının require.resolve('"/etc/passwd"') funksiyasının MODULE_NOT_FOUND xətası verməsinə səbəb olması ilə bağlıdır, hər hansı qəsdən tətbiq edilmiş təhlükəsizlik tədbiri ilə deyil. Bu problem 2.2.1 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- uptime.kuma uptime_kuma2.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| uptime.kuma uptime_kuma | 1.23.0 ≤ v < 2.2.1 | 2.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.