CVE-2026-93712
Təsvir
Perl üçün Dancer2-nin 2.1.0-dan 2.2.0-dək olan versiyaları, File marşrut idarəçisindəki nisbi yol seqmentləri vasitəsilə public_dir kataloqundan kənardakı faylları təqdim edir. İdarəçi, nisbi seqmentləri birləşdirmədən sorğu yolunu public_dir ilə birləşdirir və yalnız nəticənin oxunaqlı adi fayl olub-olmadığını yoxlayır. `/../outside.txt` ünvanına edilən sorğu public_dir kataloqundan çıxır və nöqtələrin faiz kodlaşdırılması (percent-encoding) eyni fayla çatmağa imkan verir. İdarəçi standart olaraq söndürülmüş vəziyyətdədir. Tətbiq route_handlers bölməsində File adını qeyd etdikdə və static_handler parametrini 0 olaraq təyin etdikdə bu zəiflik ortaya çıxır; əks halda, marşrut işə düşməzdən əvvəl nöqtə seqmenti rədd edilir. Worker prosesinin oxuya bildiyi istənilən fayl, o cümlədən public_dir-dən yuxarıda yerləşən tətbiqin config.yml faylı autentifikasiya olunmamış sorğuya təqdim edilir.
Necə düzəltmək olar
- Dancer22.2.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Dancer2 | 2.1.0 ≤ v < 2.2.0 | 2.2.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.