YiShaAdmin 認証不要で任意のファイルを読み取り・削除される恐れ、悪用も確認
Summary
YiShaAdmin 2.2 から 3.1 には、認証なしでファイルの読み取りや削除ができるパストラバーサルの脆弱性があります。Shadowserver Foundation が 2023 年 10 月 20 日に悪用の痕跡を初めて観測しています。修正はコミット 025b062 で行われているため、最新の情報を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
YiShaAdmin 2.2 から 3.1 には、認証なしでファイルの読み取りや削除ができるパストラバーサルの脆弱性があります。Shadowserver Foundation が 2023 年 10 月 20 日に悪用の痕跡を初めて観測しています。修正はコミット 025b062 で行われているため、最新の情報を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| liukuo362573 | YiShaAdmin |
2.2 – 3.1 |
— |
Original description The description as published by the source.
YiShaAdmin 2.2 through 3.1, fixed in commit 025b062, contains an unauthenticated path traversal vulnerability in the /admin/File/DownloadFile endpoint that allows attackers to read and delete arbitrary files via the filePath parameter. Attackers can send crafted GET requests with directory traversal sequences in filePath and set the delete parameter to read or remove system files like etc/passwd. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-20.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web huntr.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com