CVE-2025-52922
Açıklama
Innoshop 0.4.1 ve öncesi sürümler, FileManager API uç noktaları üzerinden dizin gezintisine (directory traversal) izin vermektedir. Yönetici paneline erişimi olan kimliği doğrulanmış bir saldırgan bunu şu amaçlarla kötüye kullanabilir: (1) /api/file_manager/files?base_folder= uç noktası aracılığıyla dosya sistemi yapısını tamamen haritalandırmak, (2) /api/file_manager/directories uç noktası aracılığıyla sunucuda rastgele dizinler oluşturmak, (3) /api/file_manager/copy_files uç noktası aracılığıyla dosyayı uygulama içinde okunabilir bir konuma kopyalayarak sunucudaki rastgele dosyaları okumak, (4) /api/file_manager/files adresine gönderilen bir DELETE isteği ile sunucudaki rastgele dosyaları silmek veya (5) dosyaları yükleyip ardından /api/file_manager/move_files uç noktasını kullanarak bunları dosya sisteminde herhangi bir yere taşıyarak sunucuda rastgele dosyalar oluşturmak.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| InnoShop InnoShop | v ≤ 0.4.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.