CVE-2023-38702
Açıklama
Knowage, açık kaynaklı bir analitik ve iş zekası paketidir. 6.x.x dalından başlayarak 8.1.8 sürümünden önce, `/knowage/restful-services/dossier/importTemplateFile` uç noktası, kimliği doğrulanmış kullanıcıların sunucuya `template file` yüklemesine izin verir ancak bu uç noktaya erişmek için herhangi bir yetkilendirme gerekmez. JSP dosyası yüklendiğinde, saldırganın sunucuda kod çalıştırma yetkisi elde etmek için yalnızca `/knowageqbeengine/foo.jsp` adresine bağlanması yeterlidir. Bu güvenlik açığından yararlanan düşük yetkili bir saldırgan, `knowageqbeengine` dizinine bir JSP dosyası yükleyebilir ve sunucuda kod çalıştırma kabiliyeti kazanabilir. Bu sorun Knowage versiyon 8.1.8 ile düzeltilmiştir.
Nasıl düzeltilir
- eng knowage8.1.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eng knowage | 6.1.0 ≤ v < 8.1.8 | 8.1.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.