CVE-2023-33251
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wersje Akka HTTP przed 10.5.2 mają problem z uprawnieniami plików tymczasowych tworzonych podczas przesyłania plików. Pliki te są zbyt słabo zabezpieczone, co pozwala innym użytkownikom na ich odczyt na systemach Linux i UNIX.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do przesyłanych plików, co może prowadzić do wycieku danych lub naruszenia prywatności użytkowników.
Rekomendacja
Zaleca się aktualizację Akka HTTP do wersji 10.5.2 lub nowszej, aby poprawić zabezpieczenia plików tymczasowych.
Oryginalny opis (angielski, źródło NVD)
When Akka HTTP before 10.5.2 accepts file uploads via the FileUploadDirectives.fileUploadAll directive, the temporary file it creates has too weak permissions: it is readable by other users on Linux or UNIX, a similar issue to CVE-2022-41946.