- Son 7 gün
- CWE-22
CVE-2022-51022
YiShaAdmin DownloadFile uç noktasında kimlik doğrulamasız dizin geçişi (path traversal)
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kimlik bilgisi gerektirmeden sunucudaki dosyaların okunmasına ve silinmesine izin verebilir. Sistemin çalıştığı sunucular ve bu yazılımı kullanan işletmeler için yüksek risk taşımaktadır. Yazılımın güncellenmesi ve açığa karşı önlem alınması acil olarak önerilir.
ÖzetTürkçe
YiShaAdmin sürüm 2.2 ile 3.1 arasındaki sürümlerde, /admin/File/DownloadFile uç noktasındaki filePath parametresi doğrulanmadan işlenmektedir. Bu nedenle kimlik doğrulaması yapılmadan hazırlanmış GET istekleriyle dizin geçişi karakterleri kullanılarak sistemdeki rastgele dosyalara erişilebilir. Açık, 025b062 numaralı commit ile giderilmiştir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan sunucudaki keyfi dosyaları okuyabilir ve silebilir; etc/passwd gibi sistem dosyaları buna dahildir.
Kaynaktaki açıklama (İngilizce)
YiShaAdmin 2.2 through 3.1, fixed in commit 025b062, contains an unauthenticated path traversal vulnerability in the /admin/File/DownloadFile endpoint that allows attackers to read and delete arbitrary files via the filePath parameter. Attackers can send crafted GET requests with directory traversal sequences in filePath and set the delete parameter to read or remove system files like etc/passwd. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-20.
Ne yapmalı?
- YiShaAdmin'i, açığın giderildiği 025b062 numaralı commit'i içeren sürüme güncelleyin. Genel öneri
- Güncelleme yapılana kadar /admin/File/DownloadFile uç noktasına erişimi ağ düzeyinde engelleyin veya kısıtlayın. Genel öneri
- Sunucu dosyalarında beklenmeyen okuma ve silme işlemlerinin olup olmadığını erişim günlüklerinden kontrol edin. Genel öneri
Ek önlemler
- Yönetim paneli ve dosya işlemi uç noktalarını internete doğrudan açık bırakmayın; erişimi VPN veya IP kısıtlaması ile sınırlayın. Genel öneri
- Uygulamanın çalıştığı hesabın yalnızca gereken dizinlere yazma ve okuma izni olmasını sağlayın. Genel öneri
- Dizin geçişi (../) içeren isteklere yönelik kuralları web uygulama güvenlik duvarında izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| liukuo362573 YiShaAdmin | ≥ 2.2, ≤ 3.1 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/025b0628b1295bd2d9fd6c9b5b82692a345151ef Yama
- github.com/…ommit/c3b66e66bf6d70a561190cd8da7f4df7b141931d Yama
- vulncheck.com/…cated-path-traversal-via-downloadfile-endpoint Üçüncü taraf
- huntr.com/bounties/2acdd87a-12bd-4ce4-994b-0081eb908128 İstismar kodu ya da analiz
- github.com/…http/vulnerabilities/other/yishaadmin-lfi.yaml Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.