CVE-2026-110212
ŚrednieCVSS 4.3Streszczenie
Stonewuu ai-fusion-video do wersji 1.2.0 zawiera podatność na path traversal, która pozwala uwierzytelnionym użytkownikom zapisywać przesłane pliki poza katalogiem mediów poprzez parametr subDir w POST /api/storage/upload. Atakujący mogą podać sekwencje katalogów nadrzędnych, które LocalStorageStrategy.storeBytes nie normalizuje, tworząc katalogi i zapisując pliki o wybranych rozszerzeniach w dowolnym miejscu, gdzie konto usługi ma uprawnienia do zapisu.
Ocena ryzyka
Ryzyko obejmuje możliwość zapisania złośliwych plików w wrażliwych lokalizacjach serwera, co może prowadzić do zdalnego wykonania kodu lub naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastowe znormalizowanie ścieżek w funkcji storeBytes oraz ograniczenie dozwolonych ścieżek do katalogu mediów.
Inne podatności w Stonewuu ai-fusion-video
Zobacz wszystkie- CVE-2026-110213Średnie
Stonewuu ai-fusion-video do wersji 1.2.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom odczytywać wyniki generowania innych użytkowników poprzez podanie dowolnych identyfikatorów zadań. Atakujący mogą enumerować automatycznie inkrementowane identyfikatory zadań na endpointach /items dla obrazów i wideo, uzyskując dostęp do wygenerowanych obrazów, filmów i metadanych innych użytkowników.
- CVE-2026-110209Średnie
Stonewuu ai-fusion-video do wersji 1.2.0 zawiera podatność na brak autoryzacji, która pozwala uwierzytelnionym użytkownikom niebędącym administratorami odczytywać przechowywane sekrety przez niechronione endpointy ApiConfigController i SystemConfigController. Atakujący mogą zapytać endpointy api-config get/list oraz system config, aby uzyskać klucze API dostawców AI, hasła proxy i mail_password, co umożliwia nadużycia rozliczeniowe i wysyłanie maili jako platforma.
Oryginalny opis (angielski, źródło NVD)
Stonewuu ai-fusion-video through 1.2.0 contains a path traversal vulnerability that allows authenticated users to write uploaded files outside the media directory via the subDir parameter of POST /api/storage/upload. Attackers can supply parent-directory sequences that LocalStorageStrategy.storeBytes never normalizes, creating directories and writing attacker-controlled files with chosen extensions anywhere the service account can write.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS