CVE-2018-11091
Açıklama
MyBiz MyProcureNet 5.0.0 sürümünde bir sorun tespit edilmiştir. Bir saldırgan tarafından web sunucusuna kötü amaçlı bir dosya yüklenebilir. Saldırganın işletim sistemi komutları yürütmek için bir betik yüklemesi mümkündür. Bu güvenlik açığı, saldırganın "HiddenFieldControlCustomWhiteListedExtensions" parametresini ayarlayabilmesi ve yükleme sırasında beyaz listeye rastgele uzantılar ekleyebilmesi nedeniyle oluşur. Örneğin, "HiddenFieldControlCustomWhiteListedExtensions" parametresine .asp uzantısı eklenirse, sunucu "secctest.asp" dosyasını meşru bir dosya olarak kabul eder. Bu nedenle, sunucuyu ele geçirmek amacıyla rastgele komutlar çalıştırmak için kötü amaçlı dosyalar yüklenebilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mybiz myprocurenet | 5.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.