Gin-vue-admin heeft een willekeurige bestandsupload kwetsbaarheid veroorzaakt door padtraversering in github.com/flipped-aurora/gin-vue-admin

De Path Traversal kwetsbaarheid in Gin-vue-admin stelt een aanvaller in staat om bestanden buiten de beoogde upload directory te plaatsen. Dit kan leiden tot het overschrijven van kritieke systeembestanden, het uploaden van kwaadaardige code (zoals een webshell) of het blootleggen van gevoelige informatie. Een succesvolle exploitatie kan resulteren in volledige controle over de server. De impact is vergelijkbaar met andere Path Traversal kwetsbaarheden waarbij de aanvaller de bestandsstructuur kan navigeren en bestanden kan manipuleren. De ernst van de impact hangt af van de privileges van de gebruiker die de upload uitvoert en de gevoeligheid van de bestanden die op de server staan.

Organizations using Gin-vue-admin in production environments, particularly those with sensitive data or critical applications, are at risk. Environments with weak file upload validation or inadequate access controls are especially vulnerable. Shared hosting environments where multiple users have upload capabilities also face increased risk.

• go / server:

find /var/log/gin-vue-admin -type f -name '*.log' -print0 | xargs -0 grep -i 'file upload'

• generic web:

curl -I <target_url>/upload | grep 'Content-Type'

1. 2026-01-23Disclosure

   disclosure

1. Gereserveerd2026-01-09
2. Gepubliceerd2026-01-23
3. Gewijzigd2026-03-03
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-22786 is het upgraden naar Gin-vue-admin versie 2.8.8 of hoger. Indien een upgrade momenteel niet mogelijk is, implementeer dan strikte beperkingen op de upload directory. Valideer alle bestandsnamen grondig om ervoor te zorgen dat ze geen pad traversal karakters (zoals '..' of '/') bevatten. Gebruik een Web Application Firewall (WAF) om verdachte upload verzoeken te blokkeren. Configureer uw server om bestandsuploads te beperken tot specifieke bestandstypen en -groottes. Monitor upload logs op ongebruikelijke activiteiten.