CVE-2022-26352
Açıklama
dotCMS 3.0 ile 22.02 arasındaki sürümlerde ContentResource API'de bir sorun tespit edildi. Saldırganlar, dosya adının başlangıçta temizlenmediği bir dosyayı göndermek için özel olarak hazırlanmış bir multipart form isteği oluşturabilirler. Bu durum, dosyanın hedeflenen depolama konumu dışına kaydedilmesine olanak tanıyan dizin gezginliği (directory traversal) zafiyetine yol açar. Anonim içerik oluşturma etkinse, bu durum kimlik doğrulaması yapmamış bir saldırganın, uzaktan kod çalıştırmaya (remote code execution) yol açabilecek .jsp dosyası gibi yürütülebilir bir dosya yüklemesine izin verir.
Nasıl düzeltilir
Üreticinin yayımladığı güncellemeleri uygulayın.
CISA son tarihi: 15 Eyl 2022Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dotcms dotcms | 3.0 ≤ v ≤ 22.02 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.