Alist <3.5.1 存在文件上传漏洞-低调大师

Alist <3.5.1 存在文件上传漏洞

2022-12-14 938 89

漏洞描述

Alist 是一个支持多存储的文件列表程序。

Alist 3.5.1之前版本中由于 handles 模块缺少对上传文件用户的身份验证，具有文件上传权限的攻击者可通过修改上传文件路径将任意文件上传至任意目录，包括具有密码限制的目录。

漏洞名称	Alist <3.5.1 存在文件上传漏洞
漏洞类型	认证机制不恰当
发现时间	2022-12-13
漏洞影响广度	一般
MPS编号	MPS-2022-65333
CVE编号	CVE-2022-45968
CNVD编号	-

影响范围

github.com/alist-org/alist/v3@[3.0.0-beta.0, 3.5.1)

修复方案

升级github.com/alist-org/alist/v3到 3.5.1 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-65333

https://nvd.nist.gov/vuln/detail/CVE-2022-45968

https://github.com/alist-org/alist/issues/2444

https://github.com/alist-org/alist/commit/85e1350

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/221460

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

2022-12-14 15:00:00

物联网通讯协议 iot-modbus V3.2.8 发布

关注“腾飞开源”，一起共同成长！ 1、更新内容 iot-modbus本次发布的V3.2.8版本主要优化服务端上线、掉线监听处理，以及对客户端心跳检测（超时没有接收到客户端上传的心跳则自动断开连接），请看下面的源码解读。 2、控制台日志输出效果编辑切换为居中添加图片注释，不超过 140 字（可选） 3、服务端连接管理器（1）服务端增加连接管理器MiiServerConnect，重写Channel的channelActive和channelInactive方法，监听Channel活跃状态情况进行处理，如下图所示：编辑切换为居中添加图片注释，不超过 140 字（可选）（2）发布连接监听事件，主要通过spring的发布时间监听来处理，增加连接监听器ChannelConnectListener。编辑切换为居中添加图片注释，不超过 140 字（可选） 4、对客户端心跳检测（1）增加心跳检测超时时间配置，如下图所示：编辑切换为居中添加图片注释，不超过 140 字（可选）（2）服务端心跳检测超时时间，超时则主动断开链接。编辑切换为居中添加图片注释，不超过...

364

2022-12-14 07:56:00

树莓派产能恢复，CEO 称明年下半年板子“随便买”

自全球疫情爆发以来，树莓派板子的产能完全跟不上，散户一直处于一板难求的状态，一块二手树莓派 4 都能炒到 800 多块。而近日，树莓派 CEO 埃本·厄普顿 (Eben Upton) 宣布了一个好消息：树莓派供应链问题开始缓和，产能逐步升温。在圣诞节前后假期，他们有一些“额外的库存”可以提供给业余爱好者和其他个人客户，这批好货有 10 W +，型号分别是Zero W,、3A+ 和 2/4 G 内存的 Pi 4。此外还有一个好消息：树莓派供应紧张的情况正在改善，供应的板子数量有可能在 2023 年第二季度恢复到疫情薄发之前的水平。等到 2023 年下半年，就是数量管够随便买。据 Eben Upton 的预测，Zero 和 Zero W 的产能最先满足随意购买，然后是 Pi 3A+ 等没有广泛工业客户群的产品；最后才是各种版本的 Pi 4。当然，好消息“产能管够”是明年的事，这里还有一个坏消息”涨价从现在开始“：随着原材料的涨价，Raspberry Pi Zero 的价格将从 5 美元上调至 10 美元，而 Raspberry Pi Zero W 的价格从 10 美元上调至 15 美...

420

资源下载

更多资源

优质分享Android(本站安卓app)

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Apache Tomcat7、8、9（Java Web服务器）

Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。因为Tomcat 技术先进、性能稳定，而且免费，因而深受Java 爱好者的喜爱并得到了部分软件开发商的认可，成为目前比较流行的Web 应用服务器。

Eclipse（集成开发环境）

Eclipse 是一个开放源代码的、基于Java的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。幸运的是，Eclipse 附带了一个标准的插件集，包括Java开发工具（Java Development Kit，JDK）。

Sublime Text 一个代码编辑器

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。