CVE-2023-49110

Kiuwan Local Analyzer tarama sonuçlarını Kiuwan SAST web uygulamasına (yerinde kurulum veya bulut/SaaS çözümü) yüklediğinde, iletilen veriler bazıları XML dosya formatında olan birkaç dosya içeren bir ZIP arşivinden oluşur. Kiuwan'ın bu XML dosyalarını sunucu tarafında işlemesi sırasında harici XML varlıklarını çözümlemesi, bir XML external entity injection saldırısına yol açar. "Code Security" modülü içerisinde kaynak kodu tarama yetkisine sahip bir saldırgan, uygulama sunucusu kullanıcısının haklarıyla işletim sistemindeki herhangi bir dosyayı çıkarabilir ve potansiyel olarak yapılandırma ve parolalar gibi hassas dosyalara erişebilir. Ayrıca bu zafiyet, bir saldırganın dahili sistemlere bağlantılar başlatmasına, örneğin port taramaları yapmasına veya Kiuwan'ın Wildfly yönetici konsolu gibi diğer dahili işlevlere/uygulamalara erişmesine olanak tanır. Bu sorun şu Kiuwan SAST sürümlerini etkilemektedir: <master.1808.p685.q13371