CVE-2026-34735
Açıklama
Hytale Modding Wiki, Hytale modlarının dokümantasyon ve vikilerini barındırması için sunulan ücretsiz bir hizmettir. Versiyon 1.2.0 ve öncesinde, quickUpload() uç noktası yüklenen dosyaları MIME türlerini kontrol ederek (dosya içeriğini inceleyen PHP finfo aracılığıyla) doğrular ancak saklanan dosya adını getClientOriginalExtension() ile istemci tarafından sağlanan dosya uzantısını kullanarak oluşturur. Bu iki kontrol birbirinden bağımsızdır: bir saldırgan, içeriği MIME izin listesini geçen ancak .php uzantısına sahip bir dosya yükleyebilir. Dosya genel diskte saklanır ve URL üzerinden doğrudan erişilebilir durumdadır, bu da sunucu tarafında kod çalıştırılmasına olanak tanır. Yayınlandığı sırada bilinen herhangi bir yama mevcut değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| HytaleModding wiki | <= 1.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.