CVE-2026-69101
Təsvir
Datavane TIS v5.0.0 versiyasında autentifikasiya olunmuş hücumçulara, kənar entitiylər və DTD yükləməsi aktiv olan təhlükəsizləşdirilməmiş DocumentBuilderFactory vasitəsilə XML emal edən doEditWorkflow son nöqtəsinə (endpoint) xüsusi hazırlanmış taskScript faylları göndərməklə server tərəfli sorğu saxtakarlığı (SSRF) və kənar kanal vasitəsilə faylların sızdırılmasına imkan verən XML external entity (XXE) inyeksiyası zəifliyi mövcuddur. Hücumçular edit_workflow hərəkətinə kənar DTD istinadı olan zərərli XML sənədi göndərərək serverin hücumçu tərəfindən idarə olunan infrastrukturla çıxış HTTP sorğuları etməsini və konfiqurasiya faylları ilə Derby verilənlər bazasının etibarnamələri də daxil olmaqla, TIS proses istifadəçisi tərəfindən oxuna bilən lokal faylların sızdırılmasını təmin edə bilərlər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| datavane tis | v ≤ 5.0.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.