CVE-2021-29425
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
Apache Commons IO przed wersją 2.7 zawiera podatność na ograniczoną trawersję ścieżek (path traversal) w metodzie FileNameUtils.normalize. Przy nieprawidłowym wejściu, takim jak "//../foo" lub "\\..\foo", wynik jest taki sam, co może umożliwić dostęp do plików w katalogu nadrzędnym, ale nie wyżej.
Ocena ryzyka
Ryzyko polega na możliwości dostępu do plików w katalogu nadrzędnym, co może prowadzić do ujawnienia wrażliwych danych, jeśli aplikacja używa wyniku do konstruowania ścieżek.
Rekomendacja
Zaleca się aktualizację Apache Commons IO do wersji 2.7 lub nowszej. Należy również unikać przekazywania nieprawidłowych ścieżek do metody normalize.
Oryginalny opis (angielski, źródło NVD)
In Apache Commons IO before 2.7, When invoking the method FileNameUtils.normalize with an improper input string, like "//../foo", or "\\..\foo", the result would be the same value, thus possibly providing access to files in the parent directory, but not further above (thus "limited" path traversal), if the calling code would use the result to construct a path value.