- Son 7 gün
- CWE-22
CVE-2022-51025
Penta Security WAPPLES'ta /webapi/file/transfer üzerinden dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Penta Security WAPPLES 4.0.54.1, 5.0 ve 6.0 sürümleri, dizin geçişi (path traversal) açığı içermektedir. Bu açık, kimliği doğrulanmış saldırganların /webapi/file/transfer uygulamasının name parametresi üzerinden rastgele dosyaları indirmesine olanak tanımaktadır. Saldırganlar, type=db_backup değerini ve name parametresinde ../ dizilerini içeren GET istekleri göndererek /etc/passwd gibi dosyaları okuyabilmektedir. Ayrıca, koda gömülü (hardcoded) bir systemi hesabı bulunduğundan kimlik doğrulama fiilen önemsiz hale gelmektedir. Bu açığın sömürüldüğüne dair ilk kanıt, 2023-10-19 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
Penta Security WAPPLES 4.0.54.1, 5.0, and 6.0 contains a path traversal vulnerability that allows authenticated attackers to download arbitrary files via the name parameter of /webapi/file/transfer. Attackers can send GET requests with type=db_backup and ../ sequences in name to read files like /etc/passwd, and a hardcoded systemi account makes authentication effectively trivial. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Penta Security Systems WAPPLES | 4.0.54.1 | – |
| 5.0 | – | |
| 6.0 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.