yeqifu carRental のバージョン 3fabb7eae93d209426638863980301d6f99866b3 までに脆弱性が発見されました。この脆弱性は、コンポーネント com.yeqifu.sys.controller.FileController のファイル /file/downloadShowFile.action 内の downloadShowFile 関数に影響を及ぼします。引数 path の操作によりパストラバーサルが発生します。攻撃はリモートから開始される可能性があります。この脆弱性のエクスプロイトが公開されており、悪用されるおそれがあります。本製品はローリングリリースモデルを採用して継続的に更新を提供しているため、影響を受ける特定のバージョン情報や更新リリースの情報は入手できません。プロジェクト側には早期に問題が報告されましたが、現時点で対応されていません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。