- Yama var
- Son 7 gün
- CWE-22
CVE-2026-116067
Paisa'da Editör ve Sayfa API'lerinde Dizin Geçişi Açığı
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Paisa 0.7.8 öncesi sürümler, GetFile, GetSheet, DeleteBackups ve DeleteSheetBackups işleyicilerinde dizin geçişi (path traversal) açığı içerir. Bu açık, kimlik doğrulaması yapılmamış saldırganların dosya adlarında ../ dizilerini kullanarak sunucuda okunabilir herhangi bir dosyayı okumasına ve yedek dosyalarını silmesine olanak tanır. Saldırganlar, hazırlanmış dosya adlarını editör dosya uç noktasına ve delete_backups uç noktasına göndererek sunucuda okunabilir herhangi bir dosyayı okuyabilir ve journal veya sheets dizini dışındaki yedek dosyalarını kaldırabilir.
Kaynaktaki açıklama (İngilizce)
Paisa before 0.7.8 contains a path traversal vulnerability in the GetFile, GetSheet, DeleteBackups, and DeleteSheetBackups handlers that lets unauthenticated attackers read files and delete backups through ../ sequences in file names. Attackers can send crafted names to the editor file and delete_backups endpoints to read any server-readable file and remove backup files outside the journal or sheets directory.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ananthakumaran paisa | < 0.7.8 | 0.7.8 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/035949351f7c0d0f90ecf767aa1e28b4d5a0ae31 Yama
- github.com/ananthakumaran/paisa/issues/420 Üçüncü taraf
- vulncheck.com/…-0.7.8-path-traversal-via-editor-and-sheet-api Üçüncü taraf
- github.com/ananthakumaran/paisa Diğer
- github.com/…an/paisa/blob/v0.7.7/internal/server/editor.go Diğer
- github.com/ananthakumaran/paisa/releases/tag/v0.7.8 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.