CVE-2023-51648 是 Allegra 软件中的目录遍历漏洞，允许远程攻击者泄露敏感信息。该漏洞源于 getFileContentAsString 方法中对用户提供的路径验证不足。受影响的版本包括 Allegra 7.5.0 build 29。建议升级至 7.5.1 版本以解决此问题。
攻击者可以利用此漏洞访问 Allegra 服务器上的任意文件，从而泄露敏感数据，例如配置文件、源代码或用户数据。由于该产品具有注册机制，攻击者可以通过创建具有足够权限的用户来利用此漏洞，即使需要身份验证。成功利用此漏洞可能导致数据泄露、系统配置泄露，甚至可能被用于进一步攻击。
目前尚无公开的利用程序，但由于漏洞的性质，存在被利用的风险。该漏洞已于 2024 年 11 月 22 日公开。建议密切关注安全社区的动态，并及时采取缓解措施。
Organizations deploying Allegra, particularly those with custom integrations or extensions that rely on file access, are at risk. Shared hosting environments where multiple users share the same Allegra instance are also particularly vulnerable, as a compromised user account could be leveraged to exploit this flaw.
disclosure
漏洞利用状态
EPSS
0.94% (76% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即升级 Allegra 至 7.5.1 或更高版本。如果无法立即升级，可以考虑限制 Allegra 应用程序的访问权限，仅允许其访问必要的文件和目录。此外，实施严格的文件访问控制策略，并定期审查用户权限，可以降低风险。由于此漏洞涉及文件访问，建议审查服务器日志，查找异常的文件访问行为。
Actualice Allegra a la versión 7.5.1 o posterior. Esta versión corrige la vulnerabilidad de recorrido de directorios en el método getFileContentAsString. La actualización impedirá que atacantes remotos divulguen información confidencial.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2023-51648 是 Allegra 软件中的一个目录遍历漏洞，允许攻击者访问服务器上的敏感文件。
如果您正在使用 Allegra 7.5.0 build 29，则可能受到影响。请立即升级至 7.5.1 或更高版本。
升级 Allegra 至 7.5.1 或更高版本是修复此漏洞的最佳方法。
目前尚无公开的利用程序，但存在被利用的风险。
请访问 Allegra 官方网站或安全公告页面，查找有关此漏洞的官方公告。