stitionai/devika में डायरेक्टरी ट्रैवर्सल (Directory Traversal)

इस भेद्यता का फायदा उठाकर, एक हमलावर 'project_name' पैरामीटर को नियंत्रित करके सिस्टम पर मनमाने फ़ोल्डरों तक पहुंच प्राप्त कर सकता है। वे संवेदनशील PDF दस्तावेज़ों को डाउनलोड कर सकते हैं जिनमें गोपनीय डेटा हो सकता है, जैसे कि वित्तीय रिकॉर्ड, व्यक्तिगत जानकारी, या बौद्धिक संपदा। इस भेद्यता का उपयोग सिस्टम पर आगे की घुसपैठ के लिए भी किया जा सकता है, जिससे डेटा चोरी, सिस्टम समझौता या सेवा से इनकार जैसे गंभीर परिणाम हो सकते हैं। यह भेद्यता विशेष रूप से उन संगठनों के लिए जोखिम भरी है जो PDF दस्तावेज़ों में संवेदनशील जानकारी संग्रहीत करते हैं और Devika का उपयोग करते हैं।

Organizations utilizing the stitionai/devika project, particularly those deploying it in production environments without proper security hardening, are at risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as an attacker could potentially access PDF files belonging to other users.

• linux / server:

journalctl -u devika -f | grep "download_project_pdf"

• generic web:

curl -I 'http://your-devika-server/api/download-project-pdf?project_name=../../../../etc/passwd' | grep 'HTTP/1.1' # Check for 403 or 200 OK

1. 2024-06-27Disclosure

   disclosure

1. आरक्षित2024-05-30
2. प्रकाशित2024-06-27
3. संशोधित2024-08-01
4. EPSS अद्यतन2026-04-02

चूंकि CVE-2024-5547 के लिए कोई फिक्स उपलब्ध नहीं है, इसलिए तत्काल सुरक्षा उपायों को लागू करना महत्वपूर्ण है। सबसे पहले, /api/download-project-pdf एंडपॉइंट को अस्थायी रूप से अक्षम करने पर विचार करें। यदि यह संभव नहीं है, तो वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके 'project_name' पैरामीटर के लिए इनपुट सत्यापन और फ़िल्टरिंग लागू करें। यह सुनिश्चित करें कि WAF केवल अपेक्षित वर्णों की अनुमति देता है और पथ ट्रैवर्सल प्रयासों को रोकता है। इसके अतिरिक्त, फ़ाइल सिस्टम अनुमतियों को सख्त करें ताकि केवल अधिकृत उपयोगकर्ताओं के पास संवेदनशील PDF फ़ाइलों तक पहुंच हो। नियमित रूप से सिस्टम लॉग की निगरानी करें ताकि किसी भी संदिग्ध गतिविधि का पता लगाया जा सके।