Voltronic Power SNMP Web Pro 1.1 में upload.cgi के माध्यम से पथ पारगमन (Path Traversal)

यह भेद्यता हमलावरों को डिवाइस पर संग्रहीत संवेदनशील फ़ाइलों तक अनधिकृत पहुंच प्राप्त करने की अनुमति देती है। चूंकि कोई प्रमाणीकरण की आवश्यकता नहीं है, इसलिए कोई भी हमलावर इस भेद्यता का फायदा उठा सकता है। उजागर की जा सकने वाली फ़ाइलों में पासवर्ड हैश, कॉन्फ़िगरेशन फ़ाइलें और अन्य संवेदनशील डेटा शामिल हो सकते हैं। पासवर्ड हैश को ऑफ़लाइन क्रैक किया जा सकता है, जिससे हमलावर को रूट-स्तरीय पहुंच मिल सकती है और वे सिस्टम को पूरी तरह से नियंत्रित कर सकते हैं। यह भेद्यता नेटवर्क पर अन्य उपकरणों तक पहुँचने के लिए एक प्रारंभिक बिंदु के रूप में भी काम कर सकती है, जिससे संभावित रूप से व्यापक क्षति हो सकती है।

Organizations utilizing Voltronic Power SNMP Web Pro version 1.1 for network management are at risk. This includes deployments in industrial control systems (ICS) and building automation systems where SNMP is commonly used for device monitoring and configuration. Shared hosting environments that utilize this software are particularly vulnerable due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u snmpwebpro | grep -i "upload.cgi"

• linux / server:

lsof | grep upload.cgi | grep /tmp

• generic web:

curl -I 'http://<target_ip>/upload.cgi?params=../../../../etc/passwd' # Check for 200 OK response indicating file access

1. 2026-03-13Disclosure

   disclosure

1. आरक्षित2026-01-06
2. प्रकाशित2026-03-13
3. संशोधित2026-04-23
4. EPSS अद्यतन2026-03-23

Voltronic Power SNMP Web Pro को संस्करण 7.6.47 में अपग्रेड करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके अपलोड.cgi एंडपॉइंट तक पहुंच को सीमित करने पर विचार करें। फ़ाइल अपलोड को मान्य करने और किसी भी पथ पारगमन अनुक्रम को अवरुद्ध करने के लिए सख्त इनपुट सत्यापन लागू करें। सिस्टम लॉग की नियमित रूप से निगरानी करें ताकि किसी भी संदिग्ध गतिविधि का पता लगाया जा सके।