CVE-2026-105037

KrytyczneCVSS 9.9

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Streszczenie

Obrazy Docker station-middleware (NestJS) firmy EnergizeLab w wersjach 1.6.5 do 1.8.2 pozwalają dowolnemu zarejestrowanemu kontu o niskich uprawnieniach na odczyt dowolnych plików z serwera poprzez podanie ścieżki kontrolowanej przez atakującego. Ujawnia to pliki middleware oraz sekrety serwera.

Ocena ryzyka

Atakujący z podstawowym kontem może odczytać poufne pliki konfiguracyjne i sekrety serwera, co może prowadzić do dalszej eskalacji uprawnień i kompromitacji środowiska.

Rekomendacja

Zaktualizuj obrazy Docker station-middleware do wersji nowszej niż 1.8.2 i zweryfikuj, czy sekrety serwera nie zostały ujawnione.

Inne podatności w EnergizeLab station-middleware

CVE-2026-105039Krytyczne
Obrazy Docker EnergizeLab station-middleware (NestJS) w wersjach od 1.6.5 do 1.8.2 nie sprawdzają ról użytkowników w API administracyjnych. Każdy uwierzytelniony użytkownik o niskich uprawnieniach może pobrać klucze dostawców AI oraz zmienić konfigurację i zawartość magazynu obiektów.

Oryginalny opis (angielski, źródło NVD)

EnergizeLab station-middleware (NestJS) Docker images 1.6.5 through 1.8.2 allow any registered, low-privilege account to read arbitrary files from the server by supplying an attacker-controlled file path. This exposes middleware files and server secrets.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS