CVE-2023-4172
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W systemie monitorowania i ostrzegania przed powodzią błyskawiczną Chengdu Flash Flood Disaster Monitoring and Warning System 2.0 wykryto podatność umożliwiającą absolutną nawigację po ścieżkach (absolute path traversal) poprzez manipulację argumentem FileDirectory w pliku Service/FileHandler.ashx. Atak może być przeprowadzony zdalnie, a szczegóły exploit zostały ujawnione publicznie.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego odczytu dowolnych plików poza dozwolonym katalogiem, co może prowadzić do wycieku wrażliwych danych systemowych lub konfiguracyjnych.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji, jeśli producent udostępnił łatkę, lub zastosować tymczasowe zabezpieczenia, takie jak walidacja i ograniczenie ścieżek plików w parametrze FileDirectory.
Oryginalny opis (angielski, źródło NVD)
A vulnerability, which was classified as problematic, has been found in Chengdu Flash Flood Disaster Monitoring and Warning System 2.0. This issue affects some unknown processing of the file \Service\FileHandler.ashx. The manipulation of the argument FileDirectory leads to absolute path traversal. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-236207.