CVE:CVE-2022-46902
CNNVD:CNNVD-202307-2060
Vocera Report Server是美国Vocera公司的一个报表应用程序。用于从 Vocera 系统软件创建的数据日志中收集数据并构建报告。
Vocera Report Server 和 Voice Server 5.x - 5.8 版本存在安全漏洞，该漏洞源于 Vocera Report Console 包含一个 websocket 函数，允许从 ZIP 存档文件中恢复数据库，该 ZIP 存档文件期望一个 SQL 导入文件。在解压操作中，代码从 ZIP 存档文件中获取文件路径，并将它们写入到 Vocera 临时目录中。然而，代码没有正确检查文件路径是否包含可能导致越权访问的目录遍历有效负载。
solution:Upgrade vocera report_server to a higher version than 5.8.0.135,and avoid the version [5.0.0,5.8.0.135]; Upgrade vocera voice_server to a higher version than 5.8.0.135,and avoid the version [5.0.0,5.8.0.135]