Résumé
généré automatiquement à partir des données NVDYiShaAdmin, versions 2.2 à 3.1, présente une vulnérabilité de path traversal (CWE-22) non authentifiée dans le point d'accès /admin/File/DownloadFile. Via le paramètre filePath, combiné au paramètre delete, un attaquant peut lire ou supprimer des fichiers arbitraires du système, comme etc/passwd, à l'aide de requêtes GET forgées. La description NVD indique un correctif dans le commit 025b062 et des traces d'exploitation observées par la Shadowserver Foundation le 2023-10-20. Score CVSS v3.1 : 9.1 (critique).
Description NVD (anglais)
YiShaAdmin 2.2 through 3.1, fixed in commit 025b062, contains an unauthenticated path traversal vulnerability in the /admin/File/DownloadFile endpoint that allows attackers to read and delete arbitrary files via the filePath parameter. Attackers can send crafted GET requests with directory traversal sequences in filePath and set the delete parameter to read or remove system files like etc/passwd. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-20.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 22 oct. 2026
- Mis à jour
- 22 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (5)
CVEs similaires
Autres vulnérabilités de type CWE-22
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.