CWE-50 · Эквивалентность путей: '//multiple/leading/slash'

CWE-50ВариантНеполный

Абстракция: Вариант

Статус: Неполный

Эквивалентность путей: '//multiple/leading/slash'

Продукт принимает входной путь в форме множественных ведущих слешей ('//multiple/leading/slash') без надлежащей проверки, что может привести к неоднозначному разрешению пути и позволить злоумышленнику выходить за пределы файловой системы в непредусмотренные места или получать доступ к произвольным файлам.

Открыть в каталоге с фильтром CWE →

Связанные CAPEC

—

Связанные уязвимости

CVE-2023-34092Vite предоставляет инструменты для разработки интерфейса. До версий 2.9.16, 3.2.7, 4.0.5, 4.1.5, 4.2.3 и 4.3.9 параметры сервера Vite (`server.fs.deny`) можно обойти, используя двойную косую черту (//), что позволяет любому не прошедшему проверку подлинности пользователю читать файлы из корневого пути Vite приложения, включая настройки `fs.deny` по умолчанию (`['.env', '.env.*', '*.{crt,pem}']`). Затронуты только пользователи, явно предоставляющие dev-сервер Vite сети (используя параметр конфигурации `--host` или `server.host`), и можно предоставить только файлы в непосредственной корневой папке проекта Vite. Эта проблема исправлена в vite@4.3.9, vite@4.2.3, vite@4.1.5, vite@4.0.5, vite@3.2.7 и vite@2.9.16.