CVE-2013-10077
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
OctoPrint w wersji 1.0.0 ma lukę w funkcji getSettings w pliku src/octoprint/server/ajax/settings.py, w komponencie obsługi kluczy API. Manipulacja pozwala na ujawnienie informacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a luka została naprawiona w wersji 1.1.0-rc1.
Ocena ryzyka
Osoba atakująca może zdalnie uzyskać dostęp do poufnych informacji, w tym potencjalnie kluczy API. Może to prowadzić do dalszego przejęcia kontroli nad systemem.
Rekomendacja
Zaktualizuj OctoPrint do wersji 1.1.0-rc1 lub nowszej. Sprawdź, czy klucze API nie zostały ujawnione i w razie potrzeby je zmień.
Inne podatności w OctoPrint
Zobacz wszystkie- CVE-2025-58180Wysokie
OctoPrint w wersjach do 1.11.2 włącznie zawiera podatność, która pozwala uwierzytelnionemu atakującemu przesłać plik o specjalnie spreparowanej nazwie, umożliwiając wykonanie dowolnego polecenia, jeśli nazwa pliku zostanie użyta w poleceniu zdefiniowanym w systemowym obsługiwaczu zdarzeń i zdarzenie zostanie wywołane. Podatność nie ma wpływu, jeśli nie skonfigurowano obsługiwaczy zdarzeń wykonujących polecenia systemowe z nazwami przesłanych plików.
- CVE-2014-125135Wysokie
W OctoPrint 1.0.0/1.1.0 wykryto podatność w komponencie obsługi klucza sekretnego Flask, polegającą na użyciu zaszytego na stałe klucza kryptograficznego. Atak może być przeprowadzony zdalnie. Problem naprawiono w wersji 1.11.1 (patch b4699825d6ab92d5451e5b1e3a06dfb81f86e777).
- CVE-2026-54134Wysokie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3 ma niezgodność w parsowaniu parametrów żądań między niestandardowym handlerem Tornado a Flask/Werkzeug, co pozwala atakującemu z uprawnieniem FILE_UPLOAD wstrzykiwać zastrzeżone wewnętrzne pola uploadu przez parametry zapytania lub różnice w parserze. Dotknięte są endpointy /api/files/{local|sdcard}, /api/languages, /plugin/backup/restore i /plugin/pluginmanager/upload_file.
- CVE-2026-35163Średnie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3, powiadomienia o stłumionych komendach używają renderowania PNotify dla wartości payload.command i payload.message kontrolowanych przez drukarkę w src/octoprint/static/js/app/viewmodels/terminal.js bez escapowania HTML. Atakujący, który przekona ofiarę do wydrukowania spreparowanego pliku, może wstrzyknąć HTML i JavaScript do powiadomienia, zakłócić drukowanie, odczytać informacje dostępne ofierze, w tym wrażliwe ustawienia, gdy są dozwolone, lub wykonać działania w sesji OctoPrint ofiary.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in OctoPrint 1.0.0. This impacts the function getSettings of the file src/octoprint/server/ajax/settings.py of the component API Key Handler. This manipulation causes information disclosure. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. Upgrading to version 1.1.0-rc1 will fix this issue. Patch name: eccc9d6fbde0c46cdd6e255fd5ce9a30077ba954. You should upgrade the affected component. Affected is a 2013 release where access control was not yet implemented and the endpoint was part of first-run setup). The API key has been admin-gated since 1.2.0 and GET /api/settings is protected by Permissions.SETTINGS_READ plus reauthentication in all current releases.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS