Dell Avamar Server and Avamar Virtual Edition, versions prior to 19.10 SP1 with CHF338912, contain an Improper Limitation of a Pathname to a

Üreticinin bildirdiği sürümler

Kaydı açan otorite (dell) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Dell Avamar Server

  • 19.9 through 19.10 SP1 ve sonrası · 19.10 SP1 with CHF 338912 or later öncesietkilenir · semver

• Dell Avamar Virtual Edition

  • 19.9 through 19.10 SP1 ve sonrası · 19.10 SP1 with CHF 338912 or later öncesietkilenir · semver

• Dell PowerProtect DP Series Appliance (IDPA)

  • N/A ve sonrası · 2.7.9 with AV CHF 338912 öncesietkilenir · semver

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2024-47484Dell Avamar, versions prior to 19.12 with patch 338905, excluding 19.10 and 19.10SP1 with patch 338869, contains an Improper Neutralization
  39İzleyin
• CVE-2024-52538Dell Avamar, versions prior to 19.12 with patch 338905, excluding 19.10 and 19.10SP1 with patch 338869, contains an Improper Neutralization
  35İzleyin
• CVE-2024-47977Dell Avamar, versions prior to 19.12 with patch 338905, excluding 19.10 and 19.10SP1 with patch 338869, contains an Improper Neutralization
  35İzleyin
• CVE-2025-21117Dell Avamar, version 19.4 or later, contains an access token reuse vulnerability in the AUI.
  22İzleyin
• CVE-2025-36597Dell Avamar, versions prior to 19.12 with patch 338905, contains an Improper Limitation of a Pathname to a Restricted Directory ('Path Trave
  18İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Kullanıcının verdiği dosya adı izin verilen klasörle birleştiriliyor, ama sonucun hâlâ o klasörün içinde olup olmadığı kontrol edilmiyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.