CVE-2026-104721

ŚrednieCVSS 6.3

Opublikowano: 02/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Streszczenie

Podatność typu path traversal w module logback-classic (Java) pozwala na zapisywanie plików logów poza zamierzonym katalogiem, gdy wartość dyskryminatora MDC (np. z nagłówka HTTP) jest niesanityzowana i trafia do ścieżki FileAppender. Dotyczy wersji od 0.9.14 do 1.6.4.

Ocena ryzyka

Atakujący może wpływać na lokalizację plików logów, co może prowadzić do zapisu danych w nieautoryzowanych miejscach, potencjalnie umożliwiając eskalację uprawnień lub modyfikację krytycznych plików.

Rekomendacja

Zaleca się aktualizację logback-classic do wersji nowszej niż 1.6.4 oraz walidację i sanityzację wartości MDC przed użyciem w ścieżkach plików.

Inne podatności w Logback-classic

CVE-2026-19880Średnie
Podatność typu path traversal w module logback-classic (Java) firmy QOS.CH Sarl. Wartość dyskryminatora opartego na MDC jest przekazywana bez sanityzacji do zagnieżdżonej ścieżki FileAppender, co pozwala atakującemu wpływającemu na tę wartość (np. przez nagłówek HTTP) tworzyć i dopisywać pliki dziennika poza zamierzonym katalogiem. Dotyczy wersji od 0.9.14 do 1.6.2.

Oryginalny opis (angielski, źródło NVD)

Path-traversal vulnerability in QOS.CH Sarl Logback-classic on Java (logback-classic module) allows path-traversal vulnerability. More specifically, an MDC-based discriminator value flows unsanitized into a nested FileAppender path, letting an attacker who influences that MDC value (e.g. via an HTTP header) create and append log files outside the intended directory. This issue affects Logback-classic: from 0.9.14 through 1.6.4. This vulnerability is similar to CVE-2026-19880 but involves other attack techniques.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS