CVE-2026-108120

WysokieCVSS 7.7

Opublikowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Streszczenie

W funkcji View Logs serwera SME Server w wersji 11.0rc1-215 występuje podatność path traversal. Nieuwierzytelniony atakujący może uzyskać dostęp do plików spoza zamierzonego katalogu logów, co umożliwia eksfiltrację potencjalnie wrażliwych plików systemowych i aplikacji.

Ocena ryzyka

Atakujący bez uwierzytelnienia może odczytać poufne pliki systemowe i aplikacyjne, co może prowadzić do wycieku danych i dalszej eskalacji ataku.

Rekomendacja

Zaktualizuj SME Server do wersji zawierającej poprawkę lub ogranicz dostęp do funkcji View Logs do zaufanych sieci i uwierzytelnionych użytkowników.

Inne podatności w SME Server

CVE-2026-108121Średnie
W funkcji tworzenia domen w SME Server w wersji 11.0rc1-215 wykryto podatność pozwalającą atakującemu z wysokimi uprawnieniami na wstrzyknięcie zarezerwowanych dyrektyw konfiguracji Apache. Powoduje to uszkodzenie pliku httpd.conf i uniemożliwia uruchomienie Apache po restarcie serwera, prowadząc do odmowy usługi (DoS) dla serwera WWW i hostowanych wirtualnych hostów.

Oryginalny opis (angielski, źródło NVD)

Brian Mariani from DigitalCanion SA has discovered a path traversal vulnerability in the View Logs functionality of koozali's SME Server version 11.0rc1-215 allowing an unauthenticated attacker to access files outside of the intended directory, leading to exfiltration of files located outside the intended system logs directory, including potentially sensitive system and application files.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS