CVE-2026-63445
Təsvir
Perses müşahidə məlumatları üçün açıq mənbəli idarəetmə paneli və vizuallaşdırma layihəsidir. 0.54.0-rc.0 versiyasından əvvəl fayl sistemi verilənlər bazası ilə istifadə olunan siyahı son nöqtələri (endpoints), sorğu tərəfindən idarə olunan "project" sorğu parametrini kataloq keçidi (directory traversal) simvollarına qarşı yoxlamadan resursun Query strukturuna bağlayır və nəticədə alınan "project" dəyəri verilənlər bazası yollarını seçmək üçün istifadə olunur. Autentifikasiya olunmuş hücumçu kataloq keçidi seqmentləri təqdim etməklə nəzərdə tutulmuş layihə kataloqundan çıxa, Perses prosesi üçün əlçatan olan ixtiyari YAML və ya JSON fayllarını oxuya və digər fayl əsaslı resursları sadalamaq üçün layihə izolyasiyasından yan keçə bilər. Bu problem 0.54.0-rc.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- github.com/perses/perses0.54.0-rc.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/perses/persesGo | v < 0.54.0-rc.0 | 0.54.0-rc.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.