- Yama var
- Son 7 gün
- CWE-22
CVE-2022-51024
Kavita'da kimlik doğrulaması gerektirmeyen dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Kavita 0.5.2 ile 0.5.4.1 öncesi sürümler, kimlik doğrulaması yapılmadan saldırganların dosya adı parametresinde '../' dizilerini kullanarak keyfi dosyaları okumasına izin veren bir dizin geçişi (path traversal) açığı içermektedir. Saldırganlar, /api/image/cover-upload uç noktasına ../appsettings.json gibi dosya adı değerleriyle GET istekleri göndererek geçici dizin dışındaki yapılandırma dosyalarını alabilmektedir. Bu açığın istismar edildiğine dair ilk kanıt, 2023-10-18 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
Kavita 0.5.2 before 0.5.4.1 contains a path traversal vulnerability that allows unauthenticated attackers to read arbitrary files by supplying '../' sequences in the filename parameter. Attackers can send GET requests to /api/image/cover-upload with filename values like ../appsettings.json to retrieve configuration files outside the temp directory. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Kareadita Kavita | ≥ 0.5.2, < 0.5.4.1 | 0.5.4.1 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.