CVE-2023-43662
Açıklama
ShokoServer, anime düzenleme konusunda uzmanlaşmış bir medya sunucusudur. Etkilenen sürümlerde `/api/Image/WithPath` uç noktasına kimlik doğrulama olmadan erişilebilmektedir ve bu uç noktanın varsayılan sunucu görsellerini döndürmesi beklenmektedir. Uç nokta, `System.IO.File.OpenRead` fonksiyonuna aktarılmadan önce hiçbir şekilde temizlenmeyen `serverImagePath` parametresini kabul etmektedir; bu durum rastgele dosya okunmasına yol açmaktadır. Bu sorun, ShokoServer'ı yönetici olarak kuran Windows yükleyicisi ile daha da kötüleşen bir rastgele dosya okuma problemine neden olabilir. Kimliği doğrulanmamış herhangi bir saldırgan, hassas bilgilere erişebilir ve sunucuda depolanan dosyaları okuyabilir. `/api/Image/WithPath` uç noktası, sonraki sürümlerde yer alacak olan `6c57ba0f0` commit'i ile kaldırılmıştır. Kullanıcılar, yamalı bir sürüm yayınlanana kadar `/api/Image/WithPath` uç noktasına erişimi kısıtlamalı veya kurulumlarını manuel olarak yamalamalıdır. Bu sorun GitHub Security lab tarafından keşfedilmiş olup aynı zamanda GHSL-2023-191 olarak indekslenmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shokoanime shokoserver | v ≤ 4.2.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.