CVE-2022-23512

Yüksek

Açıklama

MeterSphere, tek duraklı açık kaynaklı bir sürekli test platformudur. 2.4.1 öncesindeki sürümler, kullanıcı kontrollü bir string id alan ve bunu ApiTestCaseService'e ileten ApiTestCaseService::deleteBodyFiles fonksiyonundaki Path Injection zafiyetine karşı savunmasızdır; burada kullanıcı tarafından sağlanan değer (testId), new File(BODY_FILE_DIR + "/" + testId) şeklinde kullanılır ve daha sonra file.delete() ile silinir. URL'ye bazı kamuflaj parametreleri ekleyerek, bir saldırgan sunucudaki dosyaları hedefleyebilir. Zafiyet v2.4.1 sürümünde giderilmiştir.

ÖnemYüksek

CVSS7.7

İstismar olasılığı—

ÜrünMetersphere

Yayın14 Ara 2022

İlk görülme14 Ara 2022

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

metersphere metersphere2.4.1 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
metersphere metersphere	v < 2.4.1	2.4.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.