- Son 7 gün
- CWE-22
CVE-2021-48013
Weaver E-cology 8.0'da kimlik doğrulaması gerektirmeyen dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Weaver E-cology 8.0, kimlik doğrulaması yapılmadan saldırganların /weaver/ln.FileDownload uç noktasının fpath parametresi üzerinden keyfi dosyaları okumasına izin veren bir dizin geçişi (path traversal) açığı içermektedir. Saldırganlar, sunucudaki WEB-INF/web.xml gibi hassas dosyaları almak için fpath içinde dizin geçiş dizileri bulunan özel hazırlanmış GET istekleri gönderebilmektedir. Bu açığın istismarına ait kanıtlar ilk kez 2023-10-18 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
Weaver E-cology 8.0 contains a path traversal vulnerability that allows unauthenticated attackers to read arbitrary files through the fpath parameter of the /weaver/ln.FileDownload endpoint. Attackers can send crafted GET requests with directory traversal sequences in fpath to retrieve sensitive files such as WEB-INF/web.xml from the server. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Weaver Network Co., Ltd. E-cology | 8.0 | – |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…thenticated-path-traversal-via-ln-filedownload Üçüncü taraf
- github.com/…4%BB%B6%E8%AF%BB%E5%8F%96%E6%BC%8F%E6%B4%9E.md İstismar kodu ya da analiz
- github.com/…/ecology-filedownload-directory-traversal.yaml Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.