Zaloguj się
Deutsch English Español Polski
Średnia

Exposure of Resource to Wrong Sphere in ezsystems/ezplatform-kernel

  • Ujawniono: 19.02.2022
  • Aktualizacja: 11.10.2026 10:22

When image files are uploaded, they are made accessible under a name similar to the original file name. There are two issues with this. Both require access to uploading images in order to exploit them, this limits the impact. The first issue is that certain injection attacks can be possible, since not all possible attack vectors are removed from the original file name.

The second issue is that direct access to the images is not access controlled. This is by design, for performance reasons, and documented as such. But it does mean that images not meant to be publicly accessible can be accessed, provided that the image path and filename is correctly deduced and/or guessed, through dictionary attacks and similar.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer ezsystems/ezplatform-kernel >= 1.3.0, < 1.3.12 1.3.12

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE)
CWE-668
Platforma
Composer
Paczka
ezsystems/ezplatform-kernel
Ujawniono
19.02.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-x8xx-x82q-42q3 - CC BY 4.0

Historia podatności: ezsystems/ezplatform-kernel

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (10) w archiwum
Wszystkich wpisów
10
Pierwsza → ostatnia
03.2021 05.2024
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 3
  • Wysoka 3
  • Średnia 2
  • Niska 2

Ujawnienia w latach

Istotność:
  1. eZ Platform Object Injection in SiteAccessMatchListener
    Wysoka ghsa-2w9p-xxqr-h253 >= 1.0.0, < 1.0.3 1.0.3
  2. Company admin role gives excessive privileges in eZ Platform Ibexa
    Wysoka · 7.2 CVE-2022-48365 >= 1.3.0, < 1.3.26 1.3.26
  3. eZ Platform users with the Company admin role can assign any role to any user
    Krytyczna ghsa-8h83-chh2-fchp >= 1.3.0, < 1.3.26 1.3.26
  4. Login timing attack in ezsystems/ezplatform-kernel
    Krytyczna ghsa-342c-vcff-2ff2 >= 1.3.0, < 1.3.19 1.3.19
  5. Object state limitation has no effect
    Krytyczna ghsa-w8qp-hmh5-4v9v >= 1.3.0, < 1.3.17 1.3.17
  6. Exposure of Resource to Wrong Sphere in ezsystems/ezplatform-kernel ten wpis
    Średnia · 5.3 CVE-2022-25336 >= 1.3.0, < 1.3.12 1.3.12
  7. Cross-site scripting in eZ Platform Kernel
    Wysoka CVE-2021-46875 < 1.2.5.1, >= 1.3.0, < 1.3.1.1 1.2.5.1, 1.3.1.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.