OsamaTaher/Java-springboot-codebase - это коллекция фрагментов кода Java и Spring Boot. До коммита c835c6f7799eacada4c0fc77e0816f250af01ad2…
OsamaTaher/Java-springboot-codebase - это коллекция фрагментов кода Java и Spring Boot. До коммита c835c6f7799eacada4c0fc77e0816f250af01ad2 в нем присутствовала уязвимость, связанная с недостаточной защитой от обхода пути, что позволяло осуществлять абсолютный обход пути. Это позволяло неавторизованным пользователям получать доступ к конфиденциальным внутренним файлам. Исправление доступно в коммите c835c6f7799eacada4c0fc77e0816f250af01ad2 [1]. Источники: - [1] https://github.com/OsamaTaher/Java-springboot-codebase/security/advisories/GHSA-q6mm-cm37-w637 - [2] https://github.com/OsamaTaher/Java-springboot-codebase/commit/c835c6f7799eacada4c0fc77e0816f250af01ad2
Продукт использует внешние входные данные для формирования пути, который должен находиться внутри ограниченного каталога, однако не нейтрализует должным образом последовательности абсолютных путей, такие как "/abs/path", способные разрешиться в местоположение за пределами этого каталога.
https://cwe.mitre.org/data/definitions/36.html →Открыть в коллекции CWE →Злоумышленник, имеющий доступ к ресурсам файловой системы — непосредственно или через логику приложения — использует различные абсолютные пути к файлам и механизмы навигации, например «..», для расширения зоны доступа до нежелательных областей файловой системы. Цель злоумышленника — получить доступ к каталогам и файлам, которые должны быть для него недоступны.
https://capec.mitre.org/data/definitions/597.html →Открыть в коллекции CAPEC →