Advantech iView Path Traversal

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• advantech iview5.7.05.7057 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (icscert) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Advantech iView

  • 5.7.05 build 7057 öncesietkilenir

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2022-2143The affected product is vulnerable to two instances of command injection, which may allow an attacker to remotely execute arbitrary code.
  57Planlayın
• CVE-2021-22652Access to the Advantech iView versions prior to v5.7.03.6112 configuration are missing authentication, which may allow an unauthorized attac
  50Planlayın
• CVE-2022-2139The affected product is vulnerable to directory traversal, which may allow an attacker to access unauthorized files and execute arbitrary co
  44Planlayın
• CVE-2021-22658Advantech iView versions prior to v5.7.03.6112 are vulnerable to a SQL injection, which may allow an attacker to escalate privileges to 'Adm
  43Planlayın
• CVE-2021-32930The affected product’s configuration is vulnerable due to missing authentication, which may allow an attacker to change configurations and e
  41Planlayın
• CVE-2020-16245Advantech iView, Versions 5.7 and prior.
  41Planlayın

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Kullanıcının verdiği dosya adı izin verilen klasörle birleştiriliyor, ama sonucun hâlâ o klasörün içinde olup olmadığı kontrol edilmiyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.