Уязвимость CVE-2025-24813 - Документация Инкоманд

Эквивалентность пути: «файл.Имя» (внутренняя точка) , приводящая к удалённому выполнению кода и/или раскрытию информации и/или вредоносному контенту, добавленному в загруженные файлы с помощью включённого по умолчанию сервлета записи в Apache Tomcat. Эта проблема затрагивает Apache Tomcat: с 11.0.0-M1 по 11.0.2, с 10.1.0-M1 по 10.1.34, с 9.0.0.M1 по 9.0.98. Если все нижеперечисленное соответствовало действительности, злоумышленник мог просматривать файлы, чувствительные к безопасности, и / или внедрять содержимое в эти файлы: - запись включена для сервлета по умолчанию (отключена по умолчанию) ; - поддержка частичного ввода (включена по умолчанию) ; - целевой URL-адрес для загрузок, чувствительных к безопасности, который был подкаталогом целевого URL-адреса для общедоступных загрузок; - злоумышленнику известны имена загружаемых файлов, чувствительных к безопасности; - файлы, чувствительные к безопасности, также загружались через partial PUT. Если все нижеперечисленное соответствовало действительности, злоумышленник мог выполнять удаленное выполнение кода: - запись включена для сервлета по умолчанию (отключена по умолчанию) ; - поддержка частичного ввода (включена по умолчанию) ; - приложение использовало сохранение сеанса Tomcat на основе файлов с местом хранения по умолчанию ; - приложение включало библиотеку, которая может быть использована при атаке десериализации. Пользователям рекомендуется обновиться до версии 11.0.3, 10.1.35 или 9.0.99, что устраняет проблему.

Данная уязвимость устранена в релизе Инкоманд 7.3.5.1.