CWE-22
MITRE Обход каталогов
Path Traversal
CWE-22 — обход каталогов: путь к файлу строится из внешних данных без очистки спецсимволов. Ошибка возникает в обработчиках загрузки файлов, где имя из параметров запроса или формы подставляется в open() без проверки. Злоумышленник подставляет ../ или абсолютный путь и читает конфигурацию, ключи и исходный код, недоступные через обычные сценарии.
Как защититься от CWE-22
Чтобы защититься от CWE-22, приводите путь к каноническому виду функцией реального пути (realpath() в C, getCanonicalPath() в Java) и проверяйте, что результат лежит внутри заданного каталога, отклоняя переходы вверх. Принимайте идентификаторы файлов и сопоставляйте их с именами по таблице, а служебные файлы держите вне корня веб-сервера. Запускайте обработку запросов с минимальными правами и изолируйте её в chroot или AppArmor.
Уязвимости с типом CWE-22 (50)
В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность защи В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность защи В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно С
Уязвимости операционной системы Debian GNU/Linux, позволяющие удаленному злоумышленнику нарушить конфиденциальность защи В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
Уязвимости операционной системы openSUSE, позволяющие злоумышленнику нарушить конфиденциальность, целостность и доступно В
10.0Уязвимость программного обеспечения для веб-конференций Adobe Connect, связанная с неверным ограничением имени пути к ка2026-11-10 В
9.9Уязвимость программного обеспечения для веб-конференций Adobe Connect, связанная с неверным ограничением имени пути к ка2026-11-10 В
9.6Уязвимость программного обеспечения для веб-конференций Adobe Connect, связанная с неверным ограничением имени пути к ка2026-11-10 В
9.9Уязвимость программного обеспечения для веб-конференций Adobe Connect, связанная с неверным ограничением имени пути к ка2026-11-10 В
7.6Уязвимость веб-интерфейса управления системы централизованного управления устройствами Cisco Unified Computing System Ce2026-11-04 В
8.8Уязвимость демона ConfigDirector централизованных систем управления для программно-определяемых сетей Session Smart Rout2026-10-28 С
7.8Уязвимость сервера управления и мониторинга экстренных вызовов Cisco Emergency Responder и систем обработки вызовов Cisc2026-10-21 С
6.8Уязвимость редактора исходного кода Microsoft Visual Studio Code, связанная с неверным ограничением имени пути к каталог2026-10-13 В
7.0Уязвимость функций delete_rule_file() и delete_decoder_file() платформы для мониторинга безопасности и обнаружения угроз2026-10-13 В
8.4Уязвимость функций get_lists() и delete_list_file() платформы для мониторинга безопасности и обнаружения угроз Wazuh, по2026-10-13 В
8.5Уязвимость функций upload_list_file(), upload_rule_file() и upload_decoder_file() платформы для мониторинга безопасности2026-10-13 В
8.8Уязвимость интегрированной системы управления предприятием Microsoft Dynamics NAV, связанная с неверным ограничением име2026-10-13 К
9.8Уязвимость обработчика gRPC-запросов QueryResultReq системы управления безопасностью FortiSIEM, позволяющая нарушителю в2026-10-13 К
9.6Уязвимость редактора исходного кода Microsoft Visual Studio Code, связанная с неверным ограничением имени пути к каталог2026-10-13 С
4.7Уязвимость системы управления сайтами HostCMS, связанная с неверным ограничением имени пути к каталогу, позволяющая нару2026-10-13 С
5.3Уязвимость метода PreparedStatement.setObject драйвера JDBC pgjdbc для подключения Java-программ к базе данных PostgreSQ2026-10-08 С
2.1Уязвимость функции Loader::getTranslator() прикладного программного интерфейса для PHP-приложений phpMyAdmin MoTranslato2026-10-07Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-22 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
