CVE-2021-43176
Açıklama
13 Ekim 2021 tarihinde yapılan 3c3a979 commit'inden önceki GOautodial API'si, kullanıcı tarafından sağlanan bir "action" parametresini alır ve API çağrısını uygulamak için doğru PHP dosyasını bulup yüklemek üzere bir .php dosya uzantısı ekler. GOautodial'ın savunmasız sürümleri, action parametresini belirten kullanıcı girdisini temizlemez. Bu durum, bir saldırganın diskte bulunan ve GOautodial web sunucusu süreci tarafından okunabilen .php uzantılı herhangi bir PHP kaynak dosyasını çalıştırmasına olanak tanır. CVE-2021-43175 ile birlikte, saldırganın bunu geçerli kimlik bilgileri olmadan yapması mümkündür. CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goautodial goautodial | 4 | — |
| goautodial goautodial_api | 2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.