geyang ml-logger server.py लॉग हैंडलर पाथ ट्रैवर्सल

यह भेद्यता हमलावरों को ml-logger सर्वर पर संग्रहीत संवेदनशील फ़ाइलों तक पहुंचने की अनुमति देती है। हमलावर फ़ाइल सिस्टम पर मनमाने ढंग से फ़ाइलों को पढ़ सकते हैं, संशोधित कर सकते हैं या हटा सकते हैं, जिससे डेटा हानि, सिस्टम समझौता या अन्य गंभीर परिणाम हो सकते हैं। चूंकि यह भेद्यता दूरस्थ रूप से शोषण योग्य है और सार्वजनिक रूप से उपलब्ध है, इसलिए इसका शोषण होने का खतरा अधिक है। इस भेद्यता का शोषण करने वाला हमलावर सिस्टम पर नियंत्रण प्राप्त कर सकता है और अन्य प्रणालियों में आगे बढ़ सकता है।

Organizations deploying ml-logger in production environments, particularly those handling sensitive data, are at risk. Environments with limited network segmentation or inadequate input validation are especially vulnerable. Shared hosting environments using ml-logger are also at increased risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u ml-logger -g 'path traversal'

• generic web:

curl -I <ml-logger-endpoint> | grep -i 'path traversal'

1. 2025-09-25Disclosure

   disclosure

2. 2025-09-25PoC

   poc

1. आरक्षित2025-09-25
2. प्रकाशित2025-09-25
3. संशोधित2025-09-26
4. EPSS अद्यतन2026-03-23

ml-logger को संस्करण 255.0.1 में अपग्रेड करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके पथ पारगमन हमलों को रोकने के लिए कॉन्फ़िगर किया जा सकता है। फ़ाइल सिस्टम अनुमतियों को सख्त करना और अनावश्यक फ़ाइलों को हटाना भी जोखिम को कम करने में मदद कर सकता है। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, फ़ाइल सिस्टम एक्सेस को सीमित करने वाले नियमों का परीक्षण करें।