CVE-2026-111635

ŚrednieCVSS 4.3

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

Helical Insight do wersji 7.0.0 zawiera podatność path traversal, która pozwala uwierzytelnionym widzom na odczyt plików poza katalogiem rozwiązania przez parametr path w /getExternalResource. Atakujący mogą podać segmenty katalogu nadrzędnego, aby odczytać dowolny czytelny plik z dozwolonym rozszerzeniem, takim jak js, json lub html, omijając kontrolę dostępu do zasobów.

Ocena ryzyka

Uwierzytelniony atakujący może odczytać pliki poza katalogiem rozwiązania, co prowadzi do naruszenia poufności danych. Organizacja może ponieść konsekwencje prawne i utratę zaufania.

Rekomendacja

Zaktualizuj Helical Insight do wersji nowszej niż 7.0.0, jeśli jest dostępna, lub napraw podatność path traversal w /getExternalResource. Ogranicz dostęp do tego endpointu i waliduj parametry ścieżki.

Inne podatności w Helical Insight

CVE-2026-111634Wysokie
Helical Insight do wersji 7.0.0 zawiera podatność typu SQL injection, która pozwala uwierzytelnionym widzom wstrzykiwać SQL poprzez nieescapowane wartości parametrów raportu wysyłane do /executeDatasource. Atakujący mogą dostarczyć spreparowane wartości zastępcze typu Numeric lub String, które omijają wadliwy mechanizm SqlDetect, aby odczytać nieeksponowane tabele i modyfikować dane w źródle danych raportu.

Oryginalny opis (angielski, źródło NVD)

Helical Insight through 7.0.0 contains a path traversal vulnerability that allows authenticated viewers to read files outside the solution directory via the path parameter of /getExternalResource. Attackers can supply parent-directory segments to read any readable file with an allowed extension such as js, json, or html, bypassing per-resource access control.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS