Risk Letters

Udnyttet sårbarhed

CVE-2021-48015

TLP:CLEAR

huayi-tec jeewms Ukorrekt begrænsning af sti til begrænset katalog ('Path traversal')

JeeWMS før commit 0a610e8 indeholder en uautentificeret path traversal-sårbarhed, der tillader fjernangribere at læse arbitrære filer via dbPath-parameteren. Angribere kan sende GET-forespørgsler til /systemController/showOrDownByurl.do med ../ sekvenser i dbPath, som omgår AuthInterceptor, for at hente filer som win.ini. Udnyttelsesbeviser blev først observeret af Shadowserver Foundation den 2023-10-17.

Fakta

  • Leverandør: erzhongxmu
  • Produkt: JeeWMS
  • EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,6 %
  • Første kendte udnyttelse: 22. oktober 2026
  • Første gang set af Risk Letters: 22. oktober 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD