CVE-2020-28337
Açıklama
Microweber 1.1.20 ve öncesindeki Utils/Unzip modülünde bulunan bir dizin gezginliği (directory traversal) sorunu, kimliği doğrulanmış bir saldırganın yedek geri yükleme özelliği aracılığıyla uzaktan kod çalıştırmasına olanak tanır. Zafiyeti istismar etmek için saldırganın yönetici kullanıcı kimlik bilgilerine sahip olması, göreceli yollar (örneğin, ../../) içeren dosya yollarına sahip kötü niyetle oluşturulmuş bir ZIP dosyası yüklemesi, bu dosyayı yedekleme dizinine taşıması ve bu dosya üzerinde bir geri yükleme işlemi gerçekleştirmesi gerekir.
Nasıl düzeltilir
- microweber/microweber1.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microweber microweber | v ≤ 1.1.20 | — |
| microweber/microweberPackagist | v < 1.2.3 | 1.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.