- Son 7 gün
- CWE-22
CVE-2026-114492
gin-vue-admin removePlugin uç noktasında dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
gin-vue-admin 2.9.2 sürümüne kadar olan sürümlerde, kimliği doğrulanmış yöneticilerin pluginName parametresine dizin geçiş dizileri vererek keyfi dizinleri özyinelemeli olarak silmesine olanak tanıyan bir dizin geçişi (path traversal) açığı bulunmaktadır. Saldırganlar, /autoCode/removePlugin adresine '../' dizileri içeren özel hazırlanmış bir POST isteği göndererek os.RemoveAll fonksiyonunun sunucu işlemi tarafından yazılabilen herhangi bir dizini silmesine neden olabilir.
Kaynaktaki açıklama (İngilizce)
gin-vue-admin through 2.9.2 contains a path traversal vulnerability that allows authenticated administrators to recursively delete arbitrary directories by supplying traversal sequences in the pluginName parameter. Attackers can send a crafted POST request to /autoCode/removePlugin with '../' sequences, causing os.RemoveAll to delete any directory writable by the server process.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| flipped-aurora gin-vue-admin | ≤ 2.9.2 | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…-admin/security/advisories/GHSA-mqv7-9mvf-h9fh Üretici bülteni
- vulncheck.com/…2.9.2-path-traversal-via-removeplugin-endpoint Üçüncü taraf
- github.com/…able/server/service/system/auto_code_plugin.go Diğer
- github.com/…table/server/api/v1/system/auto_code_plugin.go Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.