z-9527 admin isImg Check upload.js uploadFile पथ ट्रैवर्सल (path traversal)

z-9527 admin में एक पाथ ट्रैवर्सल भेद्यता का पता चला है, जो संस्करण 72aaf2dd05cf4ec2e98f390668b41e128eec5ad2 तक के संस्करणों को प्रभावित करता है। फ़ाइल /server/utils/upload.js में uploadFile फ़ंक्शन, विशेष रूप से isImg Check घटक, fileType तर्क के हेरफेर के लिए असुरक्षित है। एक हमलावर इस भेद्यता का उपयोग इच्छित निर्देशिका के बाहर फ़ाइलों तक पहुंचने के लिए कर सकता है, जिससे संभावित रूप से सिस्टम की गोपनीयता, अखंडता और उपलब्धता से समझौता हो सकता है। पाथ ट्रैवर्सल की प्रकृति हमलावरों को कॉन्फ़िगर किए गए अनुमतियों के आधार पर, सर्वर पर मनमाना फ़ाइलों को पढ़ने, संशोधित करने या निष्पादित करने की अनुमति देती है। शोषण का सार्वजनिक प्रकटीकरण जोखिम को काफी बढ़ाता है, क्योंकि हमलावर जल्दी से हमले को लागू कर सकते हैं। रोलिंग रिलीज़ आर्किटेक्चर से प्रभावित विशिष्ट संस्करणों की पहचान करना मुश्किल हो जाता है, जिसके लिए निरंतर मूल्यांकन की आवश्यकता होती है।

Organizations deploying z-9527 admin, particularly those with publicly accessible instances, are at risk. Shared hosting environments where multiple users share the same server are especially vulnerable, as a compromise of one user's account could potentially lead to the exposure of data belonging to other users. Legacy configurations with weak file permissions exacerbate the risk.

• nodejs / server:

grep -r 'fileType\.\.\\\' /path/to/z-9527/admin/

• generic web:

curl -I 'http://your-z-9527-admin-url/server/utils/upload.js?fileType=../../../../etc/passwd' | grep 'HTTP/1.1 403' # Check for access denied

1. 2026-03-28Disclosure

   disclosure

1. आरक्षित2026-03-27
2. प्रकाशित2026-03-28
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-04-04

z-9527 admin के रोलिंग रिलीज़ मॉडल के कारण, कोई विशिष्ट फिक्स या तत्काल पैच प्रदान नहीं किया जाता है। प्राथमिक शमन सर्वर पर मजबूत सुरक्षा नियंत्रणों को लागू करने पर केंद्रित है। उपयोगकर्ता इनपुट, विशेष रूप से फ़ाइल हेरफेर से संबंधित तर्कों के लिए सख्त सत्यापन की दृढ़ता से अनुशंसा की जाती है। अनुमति प्राप्त फ़ाइल प्रकारों के लिए श्वेतसूची को लागू करना, ब्लैकलिस्ट के बजाय, एक बुनियादी अभ्यास है। इसके अलावा, भूमिका-आधारित एक्सेस नियंत्रण और न्यूनतम विशेषाधिकार के सिद्धांत के माध्यम से सर्वर संसाधनों तक पहुंच को सीमित किया जाना चाहिए। संदिग्ध गतिविधि के लिए सिस्टम की निरंतर निगरानी संभावित हमलों का पता लगाने और प्रतिक्रिया करने के लिए भी महत्वपूर्ण है। सर्वर कॉन्फ़िगरेशन की समीक्षा करना और हमले की सतह को कम करने के लिए सुरक्षा सर्वोत्तम प्रथाओं को लागू करने की सलाह दी जाती है।