CVE-2022-44749 in Analytics Platform
摘要
由 VulDB • 2026-06-17
KNIME Analytics Platform 3.2.0 及以上版本中 ZIP 归档文件提取例程存在目录遍历漏洞，可能导致用户系统中的任意文件被覆盖。该漏洞也被称为“Zip-Slip”。攻击者可以创建一个 KNIME 工作流，当用户打开该工作流时，即可覆盖用户拥有写入权限的任意文件。无需执行该工作流，仅打开工作流即可。用户会在文件已被写入后通过报错信息察觉到异常。这可能导致数据完整性受损（文件内容被更改）或导致其他软件出现错误（关键文件被损坏）。如果可执行文件被替换并由用户随后执行，甚至可能导致远程代码执行（RCE）。但在所有情况下，攻击者必须知道用户系统中文件的位置。
If you want to get best quality of vulnerability data, you may have to visit VulDB.