CVE-2023-37461
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Metersphere to otwartoźródłowy framework testowy, który pozwala na przesyłanie plików z wartością `belongType` zawierającą względną ścieżkę, co może prowadzić do nadpisania istniejącego pliku lub utworzenia nowego. Atakujący mogą nadpisywać jedynie pliki, do których proces Metersphere ma dostęp.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego nadpisania plików, co może wpłynąć na integralność danych w systemie. Organizacje powinny być świadome ryzyka związanego z dostępem do wrażliwych plików przez proces Metersphere.
Rekomendacja
Zaleca się aktualizację do wersji 2.10.3, aby załatać tę podatność. Brak znanych obejść dla tego problemu.
Oryginalny opis (angielski, źródło NVD)
Metersphere is an opensource testing framework. Files uploaded to Metersphere may define a `belongType` value with a relative path like `../../../../` which may cause metersphere to attempt to overwrite an existing file in the defined location or to create a new file. Attackers would be limited to overwriting files that the metersphere process has access to. This issue has been addressed in version 2.10.3. Users are advised to upgrade. There are no known workarounds for this vulnerability.