NavigaTUM is a website and API to search for rooms, buildings and other places. Prior to commit 86f34c7, there is a path traversal vulnerability in the propose_edits endpoint allows unauthenticated users to overwrite files in directories writable by the application user (e.g., /cdn). By supplying unsanitized file keys containing traversal sequences (e.g., ../../) in the JSON payload, an attacker can escape the intended temporary directory and replace public facing images or fill the server's storage. This issue has been patched via commit 86f34c7.
NavigaTUM's propose_edits endpoint contains a path traversal vulnerability allowing unauthenticated attackers to overwrite files in application-writable directories by injecting traversal sequences in JSON payloads. This vulnerability enables attackers to replace public images or exhaust server storage without authentication.
تحتوي نقطة نهاية propose_edits في NavigaTUM على ثغرة اجتياز مسار تسمح للمهاجمين غير المصرح لهم بالكتابة فوق الملفات في الدلائل القابلة للكتابة من قبل التطبيق. يمكن للمهاجمين استبدال الصور العامة أو استنزاف تخزين الخادم من خلال حقول مفاتيح الملفات غير المعقمة.
NavigaTUM's propose_edits endpoint contains a path traversal vulnerability allowing unauthenticated attackers to overwrite files in application-writable directories by injecting traversal sequences in JSON payloads. This vulnerability enables attackers to replace public images or exhaust server storage without authentication.
Update NavigaTUM to commit 86f34c7 or later immediately. Implement strict input validation and sanitization for all file path parameters, rejecting any traversal sequences (../, ..\ etc.). Apply principle of least privilege to application user permissions and restrict write access to specific directories only. Deploy Web Application Firewall rules to detect and block path traversal attempts.
قم بتحديث NavigaTUM إلى الإصدار 86f34c7 أو أحدث فوراً. طبق التحقق الصارم من صحة المدخلات وتنظيفها لجميع معاملات مسار الملف، مع رفض أي تسلسلات اجتياز. طبق مبدأ أقل صلاحية على أذونات مستخدم التطبيق وقيد الوصول للكتابة على الدلائل المحددة فقط. نشر قواعد جدار حماية تطبيقات الويب للكشف عن محاولات اجتياز المسار وحجبها.