- Yama var
- Son 7 gün
- CWE-22
CVE-2018-25438
Intermesh Group-Office'te compress.php üzerinden kimlik doğrulamasız dizin geçişi açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Intermesh Group-Office 3.3.0 sürümünden 3.5.5 sürümüne kadar olan sürümlerde, compress.php dosyasında kimlik doğrulaması gerektirmeyen bir dizin geçişi (path traversal) açığı bulunmaktadır. Bu açık, uzaktan saldırganların 'file' parametresini manipüle ederek keyfi dosyaları okumasına olanak tanır. Saldırganlar, 'file' parametresinde '../' dizileri içeren GET istekleri göndererek, önbellek yoluna eklenip readfile fonksiyonuna iletilen dosyalara, örneğin /etc/passwd dosyasına erişebilir. Bu istismara ait ilk kanıt, Shadowserver Foundation tarafından 21 Ekim 2023 tarihinde gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
Intermesh Group-Office 3.3.0 before 3.5.5 contains an unauthenticated path traversal vulnerability in compress.php that allows remote attackers to read arbitrary files by manipulating the 'file' parameter. Attackers can send GET requests to /compress.php with '../' sequences in the 'file' parameter, which is appended to the cache path and passed to readfile(), to read files such as /etc/passwd. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-21.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Intermesh Group-Office | ≥ 3.3.0, < 3.5.5 | 3.5.5 |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…p-office-3.5.5-path-traversal-via-compress-php Üçüncü taraf
- cxsecurity.com/issue/WLB-2018020249 İstismar kodu ya da analiz
- github.com/…ttp/vulnerabilities/other/groupoffice-lfi.yaml Diğer
- group-office.com Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.