Yapscan 的报告接收服务器容易受到路径遍历和日志注入的攻击

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2022-12-29

漏洞描述

If you make use of the report receiver server (experimental), a client may be able to forge requests such that arbitrary files on the host can be overwritten (subject to permissions of the yapscan server), leading to loss of data. This is particularly problematic if you do not authenticate clients and/or run the server with elevated permissions.

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/advisories/GHSA-9h6h-9g78-86f7

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型
CWE-117	日志输出的转义处理不恰当
CWE-22	对路径名的限制不恰当（路径遍历）
CWE-73	文件名或路径的外部可控制

Exp相关链接

- avd.aliyun.com