CVE-2024-13984
Açıklama
QiAnXin TianQing Management Center'ın 6.7.0.4130 dahil önceki sürümleri, rptsvr bileşeninde kimlik doğrulaması yapmamış saldırganların sunucuda rastgele konumlara dosya yüklemesine izin veren bir path traversal zafiyeti içermektedir. /rptsvr/upload uç noktası, multipart form-data isteklerindeki filename parametresini temizlememekte ve bu durum path traversal işlemine olanak tanımaktadır. Bu durum, saldırganların web üzerinden erişilebilir dizinlere yürütülebilir dosyalar yerleştirmesine ve potansiyel olarak uzaktan kod çalıştırmaya yol açabilmektedir. İstismara dair kanıtlar ilk kez 2024-08-23 UTC tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Qi'anxin TianQing Management Center | v ≤ 6.7.0.4130 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.