MAL-005: Zip Slip в функции Add Carbon Applications в WSO2 ESB

Уязвимость обхода каталога на основе ZIP-файлов (Zip Slip) была обнаружена в функции добавления «Carbon Applications» в WSO2 ESB. Удалённое выполнение кода может быть достигнуто путём записи/перезаписи определённых файлов.

Почему нет CVE?

Вендор ответил, что эта уязвимость была «исправлена в WUM», и публичного раскрытия не производилось.

Требования:

Эта уязвимость требует:

• Действительные учётные данные пользователя

Доказательство концепции:

Более подробная информация и процесс эксплуатации приведены в этом PDF.