CVE-2019-13915
Açıklama
b3log 1.6.0 öncesi sürümler, rastgele dosyalara erişmek için üç tür saldırıya izin verir. İlk olarak, saldırgan editöre kod yazabilir ve rastgele bir dosyayı okumak için bu kodu yaklaşık üç kez derleyip çalıştırabilir. İkinci olarak, saldırgan bir sembolik bağlantı (symlink) oluşturabilir ve ardından bu sembolik bağlantıyı bir ZIP arşivine yerleştirebilir. Bir zipten çıkarma işlemi, sembolik bağlantı hedefine (dosya izinlerine bağlı olarak) okuma ve yazma erişimi sağlar. Üçüncü olarak, saldırgan benzer şekilde okuma ve yazma erişimine yol açan, bir sembolik bağlantı içeren bir Git deposunu içe aktarabilir.
Nasıl düzeltilir
- b3log wide1.6.0 ya da sonraki bir sürüm
- github.com/b3log/wide1.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log wide | v < 1.6.0 | 1.6.0 |
| github.com/b3log/wideGo | v < 1.6.0 | 1.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.