CVE-2020-15097

Versões do loklak até o commit 5f48476

O aplicativo de servidor loklak contém uma vulnerabilidade de traversal de caminho devido à validação insuficiente de entradas nas APIs. Isso permite uma vulnerabilidade de traversal de diretório, possibilitando que um invasor recupere qualquer configuração administrativa e arquivos legíveis pelo aplicativo disponíveis no sistema de arquivos hospedado. Além disso, conteúdo controlado pelo usuário poderia ser gravado em qualquer configuração administrativa e arquivos legíveis pelo aplicativo.

Para resolver o problema, os usuários precisarão atualizar suas instâncias hospedadas do loklak para uma versão posterior ao commit 5f48476, especificamente para uma versão que inclua o patch do commit 50dd692. Como solução alternativa temporária, considere restringir o acesso a configurações e arquivos administrativos confidenciais para minimizar o risco de exploração.