CVE-2026-110214

NiskieCVSS 3.7

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Snowy 3.6.5 zawiera podatność związaną z twardo zakodowanym kluczem HMAC, która pozwala nieuwierzytelnionym atakującym na fałszowanie podpisów pobierania dla punktu końcowego /dev/file/download, używając opublikowanej stałej FILE_DOWNLOAD_SIGN_SECRET. Atakujący mogą obliczyć podpisy HMAC-SHA256 dla odgadniętych identyfikatorów plików offline, aby pobrać przechowywane pliki, takie jak awatary, obrazy edytora i załączniki.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany dostęp do przechowywanych plików, co może prowadzić do ujawnienia danych użytkowników lub wrażliwych informacji.

Rekomendacja

Zmień klucz HMAC na losowy, nieujawniony klucz, zaktualizuj Snowy do wersji z poprawką oraz rozważ dodanie mechanizmów uwierzytelniania dla pobierania plików.

Inne podatności w Snowy

CVE-2025-69161Wysokie
W wersjach Snowy do 1.13 występuje podatność na nieautoryzowane włączenie lokalnych plików.

Oryginalny opis (angielski, źródło NVD)

Snowy 3.6.5 contains a hard-coded HMAC key vulnerability that allows unauthenticated attackers to forge download signatures for the /dev/file/download endpoint by using the published FILE_DOWNLOAD_SIGN_SECRET constant. Attackers can compute HMAC-SHA256 signatures of guessed file ids offline to download stored files such as avatars, editor images and attachments.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS