CVE-2025-24907
Açıklama
Genel Bakış Ürün, kısıtlı bir dizin içinde olması gereken bir yol adı oluşturmak için harici girdi kullanmaktadır; ancak bu dizinin dışındaki bir konuma çözümlenebilen '.../...//' (çift üç nokta eğik çizgi) dizilerini uygun şekilde etkisiz hale getirmemektedir. (CWE-35) Açıklama Hitachi Vantara Pentaho Data Integration & Analytics 9.3.x ve 8.3.x dahil olmak üzere 10.2.0.2 öncesi sürümleri, CGG Draw API aracılığıyla dosya yolu olarak kullanılan kullanıcı girdisini temizlememektedir. Etki Bu durum, saldırganların dosya sisteminde gezinerek kısıtlı dizinin dışındaki dosyalara veya dizinlere erişmesine olanak tanır.
Nasıl düzeltilir
- Hitachi Vantara Pentaho Data Integration & Analytics10.2.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Hitachi Vantara Pentaho Data Integration & Analytics | 1.0 ≤ v ≤ 9.3.*, 10.0 ≤ v < 10.2.0.2 | 10.2.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.