CVE-2024-31457

gin-vue-admin, ön yüz ve arka yüzün ayrıldığı, vue ve gin tabanlı bir yönetim sistemi panelidir. gin-vue-admin'in 2.6.1 sürümüne karşılık gelen 0.0.0-20240407133540-7bc7c3051067 pseudoversiyonunda, arka yüzde bir kod enjeksiyonu zafiyeti bulunmaktadır. Plugin System -> Plugin Template özelliğinde, bir saldırgan `plugName` parametresini manipüle ederek dizin gezginliği (directory traversal) gerçekleştirebilir. Belirtilen gezinti dizini içerisinde `api`, `config`, `global`, `model`, `router`, `service` gibi özel klasörler ve `main.go` fonksiyonu oluşturabilirler. Ayrıca, bu klasörlerdeki Go dosyalarına belirli bir PoC parametresine dayalı olarak rastgele kodlar yerleştirilebilir. Bu zafiyetin temel nedeni, struct içerisindeki PlugName alanının kontrol edilebilir olmasıdır. b1b7427c6ea6c7a027fa188c6be557f3795e732b commit'ine karşılık gelen 0.0.0-20240409100909-b1b7427c6ea6 pseudoversiyonu sorun için bir yama içermektedir. Geçici bir çözüm olarak, dizin gezginliği problemini düzeltmek için GitHub Security Advisory'de mevcut olan filtreleme yöntemi manuel olarak kullanılabilir.