PT-2025-7430
CVE-2024-49780
·
تاريخ النشر
2025-02-19
·
تاريخ التحديث
2025-03-11
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
IBM OpenPages with Watson، الإصدارات من 8.3 حتى 9.0
الوصف
تسمح هذه الثغرة لمهاجم عن بُعد بإجراء عملية «اجتياز الدلائل» في النظام. يمكن للمهاجم الذي يتمتع بامتيازات تنفيذ «استيراد التكوين» إرسال طلب HTTP مصمم خصيصًا يحتوي على تسلسلات «نقطة نقطة» (/../) في المعلمة
file name المستخدمة في «استيراد التكوين» لتسجيل الملفات في مواقع عشوائية خارج الدليل المحدد، وربما الكتابة فوق ملفات عشوائية.التوصيات
بالنسبة للإصدارين 8.3 و9.0، يُنصح بتعطيل ميزة «استيراد التكوين» حتى يتوفر تصحيح لمنع هجمات تجاوز الدلائل. قم بتقييد الوصول إلى وحدة «استيراد التكوين» لتقليل مخاطر الاستغلال. تجنب استخدام المعلمة
file name في نقطة نهاية «استيراد الإعدادات» المتأثرة حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾