CVE-2015-3309

**Nome do software vulnerável e versões afetadas:

Versões 1.1.2 a 1.5.4 do Etherpad

Descrição:

Uma falha de traversal de diretório permite que invasores remotos leiam arquivos arbitrários com as permissões do usuário que está executando o serviço. Isso é feito incluindo um .. (ponto duplo) no parâmetro path das solicitações da API HTTP.

Recomendações:

Para as versões 1.1.2 a 1.5.4, como solução temporária, considere restringir o acesso ao arquivo Minify.js no diretório node/utils até que um patch esteja disponível. Evite usar o parâmetro path em solicitações de API HTTP afetadas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.