VDB-248231 · CVE-2023-50265 · GHSL-2023-192

morpheus65535 bazarr 直到 1.3.0 /api/swaggerui/static send_file filename 目录遍历

CVSS 元临时分数	当前攻击价格 (≈)	CTI兴趣分数
6.3	$0-$5k	0.00

摘要信息

在morpheus65535 bazarr 直到 1.3.0中已发现了分类为致命的漏洞。此漏洞会影响功能 send_file文件 /api/swaggerui/static。由于参数filename被操作，进而引发目录遍历。该漏洞被处理的名称为CVE-2023-50265，攻击可能起始于远程，没有可利用漏洞。推荐对受影响的组件进行升级。

在morpheus65535 bazarr 直到 1.3.0中已发现了分类为致命的漏洞。此漏洞会影响功能 send_file文件 /api/swaggerui/static。由于参数filename被操作，进而引发目录遍历。使用 CWE 声明该问题会导致 CWE-22。该漏洞已于 2023-12-16 以GHSL-2023-192发布。公告共享下载网址是securitylab.github.com。

该漏洞被处理的名称为CVE-2023-50265， CVE是在2023-12-05分配的。攻击可能起始于远程，有技术细节可用。此漏洞的受欢迎程度低于平均值。没有可利用漏洞。漏洞利用的当前现价为美元计算大致为USD $0-$5k。 MITRE ATT&CK项目使用攻击技术T1006来解决该问题。

如果有长度，则声明为未定义。作为零日漏洞，其地下市场的估计价格约为$0-$5k。

将版本升级到 1.3.1 能够修复该问题。更新版本下载地址为 github.com。此补丁的名称是17add7fbb3ae1919a40d505470d499d46df9ae6b。该漏洞修复程序已可在github.com下载。推荐对受影响的组件进行升级。