Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22

CVE-2026-120313

Network-AI'de InputSanitizer.sanitizePath üzerinden dizin geçişi (path traversal) açığı

Jovancoding Network-AI

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, uygulamanın kendi güvenli alanı dışındaki dosyalara erişilmesine izin verebilir. Herhangi bir kimlik doğrulaması gerektirmeden sömürülebildiği için yüksek risklidir. Etkilenen sistemlerin hızla güncellenmesi önerilir.

ÖzetTürkçe

Network-AI ürününün 5.15.5 öncesi sürümlerinde, InputSanitizer.sanitizePath fonksiyonu yol doğrulamasını yapılandırılmamış bir startsWith kontrolüyle gerçekleştirmektedir. Bu nedenle, temel dizinle aynı metin önekini paylaşan kardeş dizin yollarıyla korumalı alanın dışına çıkılabilmektedir. Etkilenen kurulumlar bu açıktan sorumludur.

Saldırgan ne yapabilir?

Saldırgan, sanitizePath korumasını aşarak sandbox dışındaki dosyaları okuyabilir, dizin içeriklerini listeleyebilir ve dosya yazabilir. Veri gizliliği ihlali ve yetkisiz dosya değişikliği yaşanabilir.

Kaynaktaki açıklama (İngilizce)

Network-AI before 5.15.5 contains a path traversal vulnerability in InputSanitizer.sanitizePath() that allows attackers to escape the base directory using sibling-directory paths. Attackers can supply paths whose directory name shares a string prefix with the base, bypassing the unanchored startsWith check to read, list, or write files outside the sandbox.

Ne yapmalı?

  1. Network-AI ürününü 5.15.5 veya sonraki bir sürüme yükseltin. Üretici
  2. Yükseltme yapılamıyorsa, dosya erişim yollarını doğrulayan dış katmanda dizin sınırlarını kesin (tam dizin eşleşmesi veya ayırıcı içeren doğrulama) olacak şekilde sınırlayın. Genel öneri
  3. Yükseltmeden sonra dosya işlemlerinin beklenen dizinler dışına çıkamadığını test edin. Genel öneri

Ek önlemler

  • Uygulamanın çalıştığı hesabın dosya sistemi izinlerini yalnızca gerekli dizinlerle sınırlandırın. Genel öneri
  • Beklenmeyen dosya okuma ve yazma işlemleri için dosya erişim günlüklerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Jovancoding Network-AI < 5.15.5 5.15.5
5.15.5 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.