CVE-2025-67728
KrytyczneStreszczenie
Fireshare umożliwia samodzielne hostowanie mediów i udostępnianie linków. Wersje 1.2.30 i niższe pozwalają uwierzytelnionemu użytkownikowi (lub nieuwierzytelnionemu, jeśli włączone jest ustawienie Public Uploads) na utworzenie złośliwej nazwy pliku podczas przesyłania wideo. Złośliwa nazwa pliku jest następnie bezpośrednio łączona z poleceniem powłoki, co może być wykorzystane do przesyłania plików do dowolnych katalogów przez path traversal lub wykonywania poleceń systemowych (RCE). Problem został naprawiony w wersji 1.3.0.
Ocena ryzyka
Podatność umożliwia zdalne wykonanie kodu lub dostęp do dowolnych katalogów, co może prowadzić do pełnego przejęcia serwera i naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 1.3.0 lub nowszej oraz ograniczenie możliwości przesyłania plików dla nieuwierzytelnionych użytkowników.
Inne podatności w Fireshare
Zobacz wszystkie- CVE-2026-54337Krytyczne
Fireshare, narzędzie do samodzielnego hostowania i udostępniania mediów oraz linków, w wersjach przed 1.6.14 zawiera podatność typu argument injection w funkcji przesyłania wideo. Umożliwia ona nieuwierzytelnionemu atakującemu zapis lub nadpisanie plików systemowych. Wersja 1.6.14 naprawia problem.
- CVE-2026-34745Krytyczne
Fireshare, narzędzie do samodzielnego hostowania mediów i udostępniania linków, w wersjach przed 1.5.3 zawiera podatność w nieuwierzytelnionym endpointcie /api/uploadChunked/public. Poprawka dla CVE-2026-33645 została zastosowana tylko dla uwierzytelnionego endpointu, ale nie dla publicznego. Niezautoryzowany atakujący może wykorzystać parametr checkSum do zapisu dowolnych plików o dowolnej treści w dowolnej ścieżce zapisywalnej na serwerze. Problem naprawiono w wersji 1.5.3.
- CVE-2026-54544Wysokie
Fireshare ułatwia samodzielne udostępnianie multimediów i linków. Przed wersją 1.6.16 dwa punkty API, które wyzwalają wychodzące żądania HTTP, nie mają dekoratora @login_required. Nieuwierzytelniony atakujący może wywołać POST /api/test-discord-webhook lub POST /api/test-webhook i spowodować, że serwer Fireshare wyśle dowolny HTTP POST na dowolny URL podany przez atakującego, w tym adresy sieci wewnętrznej i usługi metadanych chmury. Nie są wymagane żadne poświadczenia, ciasteczka sesji ani wcześniejszy dostęp. Wersja 1.6.16 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Fireshare facilitates self-hosted media and link sharing. Versions 1.2.30 and below allow an authenticated user, or unauthenticated user if the Public Uploads setting is enabled, to craft a malicious filename when uploading a video file. The malicious filename is then concatenated directly into a shell command, which can be used for uploading files to arbitrary directories via path traversal, or executing system commands for Remote Code Execution (RCE). This issue is fixed in version 1.3.0.