CVE-2020-15239

xmpp-http-upload sürüm 0.4.0 öncesinde, GET yöntemiyle yapılan saldırılarda, saldırganlar `.data` sonekine sahip olan ve yanında `.meta` sonekli bir JSON dosyası bulunan dosyaları okuyabilirler. Bu durum Bilgi İfşasına ve bazı paylaşımlı barındırma senaryolarında kimlik doğrulamanın veya giden (GET) trafiği üzerindeki diğer kısıtlamaların atlatılmasına yol açabilir. Örneğin, tek bir sunucuda uygulamanın birden fazla örneğinin (ayrı DATA_ROOT ayarlarıyla) çalıştığı bir senaryoda, dizin yapısı hakkında bilgi sahibi olan bir saldırgan, işlemin okuma erişimine sahip olduğu diğer herhangi bir örnekteki dosyaları okuyabilir. Örneklerin bireysel kimlik doğrulamalarına (örneğin, ters proxy aracılığıyla HTTP kimlik doğrulaması, kaynak IP tabanlı filtreleme) veya diğer kısıtlamalara (kotalar gibi) sahip olması durumunda, saldırganlar bu tür bir senaryoda diğer örneklerden veri almak için Directory Traversal kullanarak bu sınırları atlatabilirler. İlişkili XMPP sunucusu (veya SECRET_KEY'i bilen herhangi biri) kötü niyetliyse, DATA_ROOT dışına dosyalar yazabilirler. Yazılan dosyaların `.meta` ve `.data` soneklerine sahip olması zorunludur; `.meta` dosyası orijinal isteğin Content-Type bilgisini içeren JSON'u, `.data` dosyası ise yükü (payload) içerecektir. Sorun 0.4.0 sürümünde giderilmiştir.