CVE-2026-55629
Yüksək
Təsvir
Whistle HTTP, HTTP2, HTTPS və WebSocket sazlama proksisidir. 2.10.3 versiyasından əvvəl lib/service/service.js faylı GET /cgi-bin/temp/get sorğusunu emal edərkən req.query.filename dəyərini oxuyur və onu yalnız müvəqqəti fayl şablonuna uyğun gəldikdə TEMP_FILES_PATH ilə birləşdirir, digər hallarda isə istifadəçi tərəfindən təmin edilən fayl adını birbaşa getFile funksiyasına ötürür. Bu, uzaqdakı hücumçuya /etc/passwd kimi ixtiyari faylları oxumağa imkan verir. Bu problemin 2.10.3 versiyasında həll edildiyi bildirilir.
CiddilikYüksək
CVSS8.7
İstismar ehtimalı—
MəhsulWhistle
Dərc16 iyl 2026
İlk görülmə16 iyl 2026
Zəiflik növüCWE-22Kataloq keçidi (path traversal)
Necə düzəltmək olar
Yeniləyin
- whistle2.10.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| whistlenpm | v < 2.10.3 | 2.10.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.