Salvo में एक Path Traversal है salvo-proxy::encode_url_path में, जो API Gateway Bypass की अनुमति देता है

यह भेद्यता हमलावरों को Salvo प्रॉक्सी के माध्यम से रूट किए गए बैकएंड सिस्टम तक अनधिकृत पहुंच प्राप्त करने की अनुमति देती है। वे संवेदनशील डेटा तक पहुंच सकते हैं, प्रशासनिक डैशबोर्ड को संशोधित कर सकते हैं, या यहां तक ​​कि बैकएंड सिस्टम पर कमांड निष्पादित कर सकते हैं। चूंकि भेद्यता प्रमाणीकरण की आवश्यकता के बिना शोषण की जा सकती है, इसलिए इसका प्रभाव व्यापक हो सकता है। यह भेद्यता समान प्रकार की भेद्यताओं के शोषण के समान है जो अन्य प्रॉक्सी समाधानों में देखी गई हैं, जिससे संभावित रूप से डेटा उल्लंघन और सिस्टम समझौता हो सकता है।

Organizations utilizing the Salvo Rust framework in their proxy or API gateway infrastructure are at risk. This includes those deploying Salvo in production environments, particularly those with exposed backend services or administrative interfaces. Applications relying on Salvo for routing and security should be prioritized for patching.

• rust/supply-chain: Examine Cargo.toml files for dependencies on salvo versions prior to 0.89.3. Use cargo audit to identify vulnerable dependencies. • generic web: Monitor access logs for requests containing suspicious URL patterns like .../.. or ..././... • generic web: Inspect response headers for unexpected backend paths being exposed.

curl -I 'http://your-salvo-proxy/../../sensitive-resource' # Example request to test for bypass

1. 2026-03-19Disclosure

   disclosure

1. आरक्षित2026-03-18
2. प्रकाशित2026-03-19
3. संशोधित2026-03-25
4. EPSS अद्यतन2026-03-31

सबसे प्रभावी शमन उपाय Salvo फ्रेमवर्क को संस्करण 0.89.3 में अपडेट करना है, जिसमें इस भेद्यता को ठीक किया गया है। यदि तत्काल अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को कम किया जा सकता है। WAF को ऐसे नियमों के साथ कॉन्फ़िगर किया जाना चाहिए जो "../" अनुक्रमों को फ़िल्टर करते हैं और अनधिकृत बैकएंड पथों तक पहुंच को रोकते हैं। इसके अतिरिक्त, Salvo प्रॉक्सी के लिए एक्सेस नियंत्रण को मजबूत करना और केवल आवश्यक बैकएंड पथों तक पहुंच की अनुमति देना महत्वपूर्ण है।