Kodexplorer <4.50 存在路径遍历漏洞

漏洞描述

Kodexplorer 是一个基于 Web 的文件管理器和基于 Web IDE / 浏览器的代码编辑器。

Kodexplorer 4.50 之前版本中由于 request_url_safe 函数未对用户传入的 url 参数进行有效过滤，导致未经身份验证的远程攻击者可通过恶意构造的 url 字符串（如：../）进行路径遍历攻击，进而获取 Kodexplorer 主机进程可访问的任意文件。

影响范围

kalcaddle/KodExplorer@(-∞, 4.50)

修复方案

将组件 kalcaddle/KodExplorer 升级至 4.50 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-65547

https://nvd.nist.gov/vuln/detail/CVE-2022-46154

https://github.com/kalcaddle/KodExplorer/security/advisories/GHSA-6f8p-4w5q-j5j2

https://github.com/kalcaddle/KodExplorer/commit/1f7072c0e12150686f10ee8cda82c004f04be98c

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc