CVE-2021-32507: fallo de gravedad media en QSAN Storage Manager
QSAN Storage Manager - Absolute Path Traversal via FileDownload function
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Un defecto en la función de descarga de archivos del QSAN Storage Manager permite que usuarios autenticados descarguen cualquier archivo del servidor manipulando la ruta del archivo, exponiendo datos sensibles como configuraciones y credenciales.
Una vulnerabilidad de path traversal absoluto en el endpoint FileDownload permite que atacantes autenticados eludan restricciones de directorio y recuperen archivos arbitrarios mediante parámetros Url malformados. Requiere autenticación previa pero compromete la confidencialidad de los datos; corregida en v3.3.3.
En el mismo producto, de las más peligrosas a las menos.