Directory traversal in the Copy, Move, and Delete features in Pydio Cells 2.2.9 allows remote authenticated users to enumerate personal file

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• pydio cells2.2.9

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2023-32749Pydio Cells allows users by default to create so-called external users in order to share files with them.
  39Наблюдать
• CVE-2019-12901Pydio Cells before 1.5.0 fails to neutralize '../' elements, allowing an attacker with minimum privilege to Upload files to, and Delete file
  35Наблюдать
• CVE-2020-12851Pydio Cells 2.0.4 allows an authenticated user to write or overwrite existing files in another user’s personal and cells folders (repositori
  32Наблюдать
• CVE-2020-12847Pydio Cells 2.0.4 web application offers an administrative console named “Cells Console” that is available to users with an administrator ro
  29Наблюдать
• CVE-2020-12850The following vulnerability applies only to the Pydio Cells Enterprise OVF version 2.0.4.
  28Наблюдать
• CVE-2020-12852The update feature for Pydio Cells 2.0.4 allows an administrator user to set a custom update URL and the public RSA key used to validate the
  28Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.