CVE-2023-5588：Pleroma路径遍历漏洞分析

漏洞概述

在kphrx维护的Pleroma项目中发现了一个被归类为有问题的安全漏洞。该漏洞影响文件lib/pleroma/emoji/pack.ex中的Pleroma.Emoji.Pack功能，由于对参数name的处理不当，可能导致路径遍历攻击。

技术细节

受影响版本

• 受影响版本：< 2.5.3
• 已修复版本：2.5.3

漏洞特征

• 攻击复杂度：较高
• 可利用性：较困难
• 严重程度：低（CVSS评分2.6/10）

CVSS v3基础指标

• 攻击向量：相邻网络
• 攻击复杂度：高
• 所需权限：低
• 用户交互：无
• 作用范围：未改变
• 机密性影响：低
• 完整性影响：无
• 可用性影响：无

修复方案

补丁信息

修复该漏洞的补丁标识为：2c795094535537a8607cc0d3b7f076a609636f40

建议措施

推荐应用相关补丁来修复此问题，建议用户升级到Pleroma 2.5.3或更高版本。

相关参考

• NVD漏洞详情：CVE-2023-5588
• GitHub问题追踪：kphrx/pleroma#197
• 漏洞数据库记录：VDB-242187

安全弱点分类

• CWE标识：CWE-22
• 弱点描述：路径名到受限目录的限制不当（路径遍历）
• 具体表现：产品使用外部输入构造路径名时，未能正确过滤路径名中的特殊元素，导致可能访问受限目录之外的位置。