CVE-2020-15230highCWE-22

CVE-2020-15230: fallo de gravedad alta en vapor

Arbitrary file read un Vapor

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear vapor

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.5epss 1.5%
En resumen

El framework Vapor para Swift (versiones anteriores a 4.29.4) tiene un defecto en el FileMiddleware que permite que los atacantes lean cualquier archivo del servidor manipulando rutas de archivo. Esto es peligroso porque los atacantes pueden acceder a datos sensibles como archivos de configuración o claves privadas.

Detalle técnico

Vulnerabilidad de path traversal (CWE-22) en el FileMiddleware de Vapor permite que atacantes no autenticados eludan restricciones de directorio y lean archivos arbitrarios en el sistema de archivos. La explotación ocurre mediante solicitudes con secuencias de path traversal que no se sanitizan adecuadamente antes del acceso al archivo.

Resumen generado y traducido por IA a partir de la descripción oficial.
Vapor is a web framework for Swift. In Vapor before version 4.29.4, Attackers can access data at arbitrary filesystem paths on the same host as an application. Only applications using FileMiddleware are affected. This is fixed in version 4.29.4.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:N
Productos afectados
vapor · vapor
CVEs relacionadas — vapor

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-31005HIGHInteger Overflow in Vapor's HTTP Range RequestEPSS 2.1%CVE-2021-21328MEDIUMDenial of ServiceEPSS 1.8%CVE-2022-31019HIGHDoS Vulnerability in URLEncodedFormDecoder in VaporEPSS 1.7%CVE-2021-32742HIGHUntrusted data fed into `Data.init(base32Encoded:)` can result in exposing server memory and/or crashEPSS 1.2%CVE-2023-44386MEDIUMIncorrect request error handling triggers server crash in VaporEPSS 0.7%CVE-2024-21631MEDIUMInteger overflow in URI leading to potential host spoofingEPSS 0.6%