Descripción
YiShaAdmin desde la versión 2.2 hasta la 3.1, corregido en el commit 025b062, contiene una vulnerabilidad de recorrido de directorios (path traversal) no autenticado en el endpoint /admin/File/DownloadFile que permite a los atacantes leer y eliminar archivos arbitrarios mediante el parámetro filePath. Los atacantes pueden enviar solicitudes GET especialmente manipuladas con secuencias de recorrido de directorios en filePath y configurar el parámetro delete para leer o eliminar archivos del sistema como etc/passwd. La Shadowserver Foundation observó por primera vez evidencia de explotación el 2023-10-20.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- YiShaAdmin Afectadas: 2.2 a 3.1 No afectadas: 025b0628b1295bd2d9fd6c9b5b82692a345151ef
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Exploit publicadohuntr.com/bounties/2acdd87a-12bd-4ce4-994b-0081eb908128
- Parchegithub.com/liukuo362573/YiShaAdmin/commit/025b0628b1295bd2d9fd6c9b5b8…
- Parchegithub.com/liukuo362573/YiShaAdmin/commit/c3b66e66bf6d70a561190cd8da7…
- Referencia en github.comgithub.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabi…
- Aviso de vulncheck.comvulncheck.com/advisories/yishaadmin-3.1-unauthenticated-path-traversa…
Ver el texto original en inglés (CVE.org)
YiShaAdmin 3.1 Unauthenticated Path Traversal via DownloadFile endpoint
YiShaAdmin 2.2 through 3.1, fixed in commit 025b062, contains an unauthenticated path traversal vulnerability in the /admin/File/DownloadFile endpoint that allows attackers to read and delete arbitrary files via the filePath parameter. Attackers can send crafted GET requests with directory traversal sequences in filePath and set the delete parameter to read or remove system files like etc/passwd. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-20.