CVE-2026-28674
Açıklama
xiaoheiFS, bulut hizmeti işletmeleri için kendi kendine barındırılan bir finansal ve operasyonel sistemdir. 0.3.15 dahil önceki sürümlerde, `AdminPaymentPluginUpload` uç noktası yöneticilerin `plugins/payment/` dizinine herhangi bir dosya yüklemesine izin verir. Sistem yalnızca sabit kodlanmış bir parolayı (`qweasd123456`) kontrol eder ve dosya içeriğini göz ardı eder. Ardından bir arka plan izleyicisi (`StartWatcher`), bu klasörü her 5 saniyede bir tarar. Yeni bir yürütülebilir dosya bulursa bunu hemen çalıştırır ve bu durum uzaktan kod çalıştırmaya (RCE) yol açar. Sürüm 4.0.0 bu sorunu giderir.
Nasıl düzeltilir
- danvei233 xiaoheifs0.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| danvei233 xiaoheifs | v < 0.4.0 | 0.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.