CVE-2026-105174

ŚrednieCVSS 5.4

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

W Gerapy do wersji 0.9.13 wykryto podatność path traversal w funkcji project_create w pliku gerapy/server/core/views.py (komponent Project Management). Manipulacja argumentem project_name prowadzi do przejścia ścieżki. Zdalne wykorzystanie jest możliwe, a exploit został publicznie ujawniony. Identyfikator poprawki to 6e481078cfba6388a67ca2d9792288405019ba3e.

Ocena ryzyka

Podatność pozwala zdalnemu atakującemu na dostęp do plików poza zamierzonym katalogiem, co może prowadzić do wycieku danych lub wykonania kodu. Publiczny exploit zwiększa ryzyko.

Rekomendacja

Należy zastosować poprawkę o identyfikatorze 6e481078cfba6388a67ca2d9792288405019ba3e lub zaktualizować do wersji zawierającej tę poprawkę. Zaleca się również walidację argumentu project_name.

Inne podatności w Gerapy

CVE-2026-16209Wysokie
W projekcie Gerapy do wersji 0.9.13 wykryto brak uwierzytelnienia w punkcie końcowym przesyłania projektów. Podatność znajduje się w pliku gerapy/server/core/views.py i umożliwia zdalne wykorzystanie bez autoryzacji. Publicznie dostępny exploit zwiększa ryzyko ataku.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in Gerapy up to 0.9.13. This vulnerability affects the function project_create of the file gerapy/server/core/views.py of the component Project Management. The manipulation of the argument project_name leads to path traversal. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. The identifier of the patch is 6e481078cfba6388a67ca2d9792288405019ba3e. Applying a patch is the recommended action to fix this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS