CVE-2025-34030
Açıklama
sar2html versiyon 3.2.2 ve öncesinde, index.php içerisindeki plot parametresi üzerinden bir OS komut enjeksiyonu zafiyeti bulunmaktadır. Uygulama, kullanıcı tarafından sağlanan girdiyi sistem düzeyinde bir bağlamda kullanmadan önce temizlememektedir. Uzaktaki kimliği doğrulanmamış saldırganlar, özel olarak hazırlanmış bir GET isteğindeki plot parametresine kabuk komutları ekleyerek (örneğin, ?plot=;id) bu komutları enjekte edebilirler. Komutun çıktısı, ana bilgisayar seçim arayüzü ile etkileşime geçildikten sonra uygulamanın arayüzünde görüntülenir. Başarılı istismar, temel sistem üzerinde rastgele komut çalıştırılmasına yol açar. İstismara dair kanıtlar, Shadowserver Foundation tarafından 2025-02-04 UTC tarihinde gözlemlenmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sar2html sar2html | v ≤ 3.2.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.