Pydio Cells 2.0.4 allows an authenticated user to write or overwrite existing files in another user’s personal and cells folders (repositori

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

• pydio cells2.0.4

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2023-32749Pydio Cells allows users by default to create so-called external users in order to share files with them.
  39İzleyin
• CVE-2019-12901Pydio Cells before 1.5.0 fails to neutralize '../' elements, allowing an attacker with minimum privilege to Upload files to, and Delete file
  35İzleyin
• CVE-2020-12847Pydio Cells 2.0.4 web application offers an administrative console named “Cells Console” that is available to users with an administrator ro
  29İzleyin

Bu üründe bundan önce ve sonra yayımlananlar

• ← ÖncekiCVE-2019-1290219 Haz 2019 · Pydio Cells before 1.5.0 does incomplete cleanup of a user's data upon deletion.
  26İzleyin
• ← ÖncekiCVE-2019-1290319 Haz 2019 · Pydio Cells before 1.5.0, when supplied with a Name field in an unexpected Unicode format, fails to handle this and includes the database co
  17İzleyin
• Sonraki →CVE-2020-128524 Haz 2020 · The update feature for Pydio Cells 2.0.4 allows an administrator user to set a custom update URL and the public RSA key used to validate the
  28İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Kullanıcının verdiği dosya adı izin verilen klasörle birleştiriliyor, ama sonucun hâlâ o klasörün içinde olup olmadığı kontrol edilmiyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.