CVE-2026-110777

ŚrednieCVSS 5.7

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

W evolution-data-server wydarzenia kalendarza zawierające URI file:// w polu ATTACH automatycznie odczytują wskazany plik lokalny, kodują jego zawartość w base64 i wysyłają z powrotem na serwer przy zapisie wydarzenia. Brak ograniczeń ścieżek i weryfikacji pochodzenia załącznika pozwala atakującemu z dostępem do współdzielonego kalendarza CalDAV na eksfiltrację dowolnych plików dostępnych dla użytkownika.

Ocena ryzyka

Atakujący ze dostępem do współdzielonego kalendarza CalDAV może wykraść dowolne pliki, do których użytkownik ma dostęp, poprzez złośliwe wydarzenia kalendarza.

Rekomendacja

Zaktualizuj evolution-data-server do wersji z poprawką i unikaj otwierania niezaufanych wydarzeń kalendarza ze współdzielonych kalendarzy.

Inne podatności w evolution-data-server

CVE-2026-2604Średnie
W systemie evolution-data-server znaleziono lukę, która pozwala na nieprawidłowe porównanie w backendzie pliku książki adresowej. Aplikacja Flatpak z dostępem do D-Bus może stworzyć złośliwy URI z sekwencjami przejścia katalogów, co prowadzi do usunięcia dowolnych plików z systemu plików hosta.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in evolution-data-server. Calendar events containing a file:// URI in their ATTACH property automatically read the targeted local file, base64-encode its contents and upload it back to the server when the event is saved. There are no file path restrictions or checks to verify whether the attachment originally came from the server or was added locally. This allows an attacker with access to a shared CalDAV calendar to exfiltrate arbitrary files the user has access to when interacting with malicious calendar events.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS