phpTransformer 2016.9 में jQueryFileUpload के माध्यम से डायरेक्टरी ट्रैवर्सल

यह भेद्यता हमलावरों को phpTransformer सर्वर पर संग्रहीत संवेदनशील डेटा तक पहुँचने की अनुमति देती है। हमलावर पथ पैरामीटर में हेरफेर करके, वे वेब रूट के बाहर स्थित फ़ाइलों को पढ़ सकते हैं, जिसमें कॉन्फ़िगरेशन फ़ाइलें, स्रोत कोड और अन्य गोपनीय जानकारी शामिल हो सकती है। एक सफल शोषण से डेटा उल्लंघन, सिस्टम समझौता या सेवा से इनकार हो सकता है। यह भेद्यता jQueryFileUploadmaster सर्वर एंडपॉइंट के माध्यम से शोषण के लिए विशेष रूप से असुरक्षित है, क्योंकि यह अनधिकृत फ़ाइल अपलोड और डाउनलोड की अनुमति देता है।

Web applications utilizing phpTransformer versions 2016.9 through 2016.9 are at risk. This includes applications that rely on phpTransformer for image processing or other file manipulation tasks. Shared hosting environments where multiple users share the same server are particularly vulnerable, as a compromise of one application could potentially expose files belonging to other users.

• php: Examine access logs for requests containing traversal sequences like '../' in the path parameter.

grep '../' /var/log/apache2/access.log

• php: Check for unusual file access patterns in server logs.

journalctl -u apache2 | grep -i "file not found"

• generic web: Use curl to test the jQueryFileUploadmaster endpoint with various traversal sequences.

curl 'http://your-server/jqueryFileUploadmaster?path=../../../../../../etc/passwd'

1. 2026-03-21Disclosure

   disclosure

1. आरक्षित2026-03-21
2. प्रकाशित2026-03-21
3. संशोधित2026-03-24
4. EPSS अद्यतन2026-03-29

CVE-2019-25579 के प्रभाव को कम करने के लिए, phpTransformer को नवीनतम संस्करण में तुरंत अपडेट करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो फ़ाइल एक्सेस को सीमित करने के लिए अस्थायी समाधान लागू किए जा सकते हैं। इसमें वेब रूट के बाहर फ़ाइलों तक पहुँच को रोकने के लिए फ़ाइल सिस्टम अनुमतियों को सख्त करना या फ़ाइल एक्सेस को सीमित करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को कॉन्फ़िगर करना शामिल हो सकता है। सुनिश्चित करें कि jQueryFileUploadmaster सर्वर एंडपॉइंट को ठीक से सुरक्षित किया गया है और अनधिकृत फ़ाइल अपलोड को रोकने के लिए इनपुट सत्यापन लागू किया गया है। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है और फ़ाइल एक्सेस अब प्रतिबंधित है।