CVE-2022-51022highexploração observadaCWE-22

CVE-2022-51022: falha de alta gravidade em liukuo362573 YiShaAdmin

YiShaAdmin 3.1 Unauthenticated Path Traversal via DownloadFile endpoint

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar YiShaAdmin

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

63Vexday Risk Score

Priorize a correção. Ela exploração observada pelo VulnCheck e tem prova de conceito pública.

ssvc Actcvss 8.8epss 0.8%
da publicação à arma
Publicada no NVD22 de out.
VulnCheck22 de out.
YiShaAdmin 2.2 through 3.1, fixed in commit 025b062, contains an unauthenticated path traversal vulnerability in the /admin/File/DownloadFile endpoint that allows attackers to read and delete arbitrary files via the filePath parameter. Attackers can send crafted GET requests with directory traversal sequences in filePath and set the delete parameter to read or remove system files like etc/passwd. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-20.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N
Produtos afetados
liukuo362573 · YiShaAdmin
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.