CVE-2026-5027
HighCVSS 8.8Exploitation Probability (EPSS)
Very high risk98th percentile - higher than 98% of all known CVEs
Summary
Endpoint 'POST /api/v2/files' nie oczyszcza parametru 'filename' z danych formularza multipart, co pozwala atakującemu na zapis plików w dowolnych lokalizacjach systemu plików przy użyciu sekwencji przejścia ścieżki ('../').
Risk Assessment
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do wrażliwych danych lub modyfikacji plików na serwerze, co stwarza poważne zagrożenie dla integralności systemu.
Recommendation
Zaleca się wprowadzenie walidacji i oczyszczania danych wejściowych dla parametru 'filename', aby zapobiec wykorzystaniu sekwencji przejścia ścieżki.
Original NVD description (English source)
The 'POST /api/v2/files' endpoint does not sanitize the 'filename' parameter from the multipart form data, allowing an attacker to write files to arbitrary locations on the filesystem using path traversal sequences ('../').