- Son 7 gün
- CWE-22
CVE-2021-48015
JeeWMS showOrDownByurl.do üzerinde kimlik doğrulamasız dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
JeeWMS, 0a610e8 commit'inden önceki sürümlerde, kimlik doğrulaması gerektirmeyen bir dizin geçişi (path traversal) açığı içermektedir. Bu açık, uzak saldırganların dbPath parametresi aracılığıyla keyfi dosyaları okumasına olanak tanır. Saldırganlar, dbPath içinde ../ dizileri bulunan GET istekleri göndererek /systemController/showOrDownByurl.do adresine erişebilir; bu sayede AuthInterceptor atlatılır ve win.ini gibi dosyalar alınabilir. Bu istismara ait kanıtlar ilk kez Shadowserver Foundation tarafından 2023-10-17 tarihinde gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
JeeWMS before commit 0a610e8 contains an unauthenticated path traversal vulnerability that allows remote attackers to read arbitrary files via the dbPath parameter. Attackers can send GET requests to /systemController/showOrDownByurl.do with ../ sequences in dbPath, which bypasses AuthInterceptor, to retrieve files like win.ini. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-17.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| erzhongxmu JeeWMS | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/0a610e8178a0a1197e9c6615b58faf67c406d2bc Yama
- vulncheck.com/…s/jeewms-path-traversal-via-showordownbyurl-do Üçüncü taraf
- github.com/…6%84%8F%E6%96%87%E4%BB%B6%E8%AF%BB%E5%8F%96.md İstismar kodu ya da analiz
- github.com/…4%BB%B6%E8%AF%BB%E5%8F%96%E6%BC%8F%E6%B4%9E.md İstismar kodu ya da analiz
- github.com/…ain/http/vulnerabilities/other/jeewms-lfi.yaml Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.