Проблема с обходом директории была обнаружена в OpenSlides до версии 4.2.5. Файлы можно загружать на собрания OpenSlides и организовывать в…

Проблема с обходом директории была обнаружена в OpenSlides до версии 4.2.5. Файлы можно загружать на собрания OpenSlides и организовывать в папки. Интерфейс позволяет пользователям загружать ZIP-архив, который содержит все файлы в папке и её подпапках. Если нападающий укажет название файла или папки как относительный или абсолютный путь (например, ../../../etc/passwd), созданный для загрузки ZIP-архив преобразует это название в путь. В зависимости от инструмента извлечения, используемого пользователем, это может перезаписать файлы локально вне выбранной директории.