- Son 7 gün
- CWE-22
CVE-2021-48014
FanRuan FineReport 9.0 kimlik doğrulamasız yol geçişi ile dosya yazma açığı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kimlik doğrulaması gerektirmeden sunucuya kötü amaçlı dosya yazılmasına izin verdiği için son derece kritik bir risk taşımaktadır. Saldırganlar sistemin tamamını ele geçirebilir ve şirket verilerine erişebilir. Etkilenen sistemler derhal güncellenmeli veya korunmalıdır.
ÖzetTürkçe
FanRuan FineReport 9.0 sürümündeki /WebReport/ReportServer üzerindeki design_save_svg işlemi, filePath parametresi üzerinden yol geçişi (path traversal) açığı içerir. Kimlik doğrulaması yapılmadan gönderilen bir POST isteğiyle sunucuda istenilen konuma dosya yazılabilmektedir. Açık, etkilenen sürümü kullanan tüm kurulumları ilgilendirmektedir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan keyfi dosyalar yazabilir; JSP web kabuğu (webshell) yerleştirerek sunucuda uzaktan kod çalıştırma elde edebilir. Bu durum sistemin tam ele geçirilmesine ve raporlardaki verilerin ifşasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
FineReport 9.0 contains a path traversal vulnerability in the /WebReport/ReportServer design_save_svg operation that allows unauthenticated attackers to write arbitrary files via the filePath parameter. Attackers can send a POST request with directory traversal sequences in filePath and a __CONTENT__ payload to write a JSP webshell and achieve remote code execution. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.
Ne yapmalı?
- Satıcının yayınladığı düzeltilmiş sürüme güncelleyin; mevcut bir resmi düzeltme sürümü bu veri setinde belirtilmemiştir, bu nedenle FanRuan'ın resmi kanallarından güncel bilgiyi kontrol edin. Genel öneri
- Güncelleme yapılana kadar /WebReport/ReportServer yolunu dış ağlardan erişime kapatın veya bu uç noktaya yalnızca güvenilir IP adreslerinden erişime izin verin. Genel öneri
- Web kök dizinleri ve uygulama klasörlerinde yakın zamanda oluşturulmuş veya değiştirilmiş JSP dosyalarını inceleyin; şüpheli dosya bulursanız kaldırın ve sistemi yeniden değerlendirin. Genel öneri
- Sunucu üzerindeki sürümü doğrulayın ve FineReport 9.0 kullanan tüm örnekleri envanterde işaretleyin. Genel öneri
Ek önlemler
- Web uygulaması sunucusunun yazma izinlerini en aza indirin; uygulama kullanıcısının web kök dizinine yazma yetkisi olmamalıdır. Genel öneri
- Web sunucusu erişim günlüklerinde filePath parametresi içeren veya dizin geçişi karakterleri barındıran POST isteklerini izleyin. Genel öneri
- Shadowserver gibi kaynaklardan gelen istismar uyarılarını takip edin; 2023-10-14 tarihinde istismar kanıtları gözlemlendiği bildirilmiştir. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| FanRuan FineReport | 9.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…ted-path-traversal-file-write-via-reportserver Üçüncü taraf
- github.com/NHPT/WebReportV9Exp/blob/main/WebReport_Exp.py İstismar kodu ya da analiz
- github.com/…7%9B%96%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0.md İstismar kodu ya da analiz
- github.com/…ies/finereport/fine-report-v9-file-upload.yaml Diğer
- fanruan.com/en/finereport Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.