YiShaAdmin 認証不要でファイル読取・削除、悪用観測あり
Summary
管理基盤 YiShaAdmin の 2.2 から 3.1 に、ログインなしで任意のファイルを読み出し、削除できる弱点があります。Shadowserver Foundation が 2023-10-20 に悪用の形跡を初めて観測しており、インターネットから到達できる環境は特に注意が必要です。修正コミット 025b062 を取り込んだ版へ更新し、更新できない間は該当の URL を遮断してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
管理基盤 YiShaAdmin の 2.2 から 3.1 に、ログインなしで任意のファイルを読み出し、削除できる弱点があります。Shadowserver Foundation が 2023-10-20 に悪用の形跡を初めて観測しており、インターネットから到達できる環境は特に注意が必要です。修正コミット 025b062 を取り込んだ版へ更新し、更新できない間は該当の URL を遮断してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| liukuo362573 | YiShaAdmin |
2.2 – 3.1 |
— |
Original description The description as published by the source.
YiShaAdmin 2.2 through 3.1, fixed in commit 025b062, contains an unauthenticated path traversal vulnerability in the /admin/File/DownloadFile endpoint that allows attackers to read and delete arbitrary files via the filePath parameter. Attackers can send crafted GET requests with directory traversal sequences in filePath and set the delete parameter to read or remove system files like etc/passwd. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-20.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web huntr.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com