CVE-2026-113651

NiskieCVSS 3.3

Opublikowano: 20/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Streszczenie

W uploadfs przed wersją 1.28.0 ścieżki kontrolowane przez atakującego, które trafiają do lokalnego backendu, mogą zawierać segmenty katalogu nadrzędnego pozwalające wyjść poza skonfigurowany katalog uploadu i wpływać na odczyt, zapis oraz usuwanie plików w systemie plików hosta. Podatność jest wykorzystywalna w zależności od tego, czy aplikacja udostępnia odpowiednie operacje uploadfs dla niezaufanej ścieżki.

Ocena ryzyka

Atakujący może odczytać, nadpisać lub usunąć pliki poza katalogiem uploadu na hoście, co może prowadzić do ujawnienia danych lub uszkodzenia aplikacji. Ryzyko zależy od ekspozycji operacji uploadfs na niezaufane ścieżki.

Rekomendacja

Zaktualizuj uploadfs do wersji 1.28.0 lub nowszej. Upewnij się, że operacje uploadfs nie przyjmują niezaufanych ścieżek od użytkowników.

Inne podatności w uploadfs

CVE-2026-113652Średnie
W uploadfs od wersji 1.25.0 do 1.28.0 backend Azure ujawnia token SAS na poziomie konta w każdym publicznym adresie URL załącznika. Gdy uploadfs jest skonfigurowany z backendem Azure i sas: true, createContainer() buduje BlobServiceClient z adresu URL zawierającego pełny ciąg zapytania SAS, a klienci pochodni Azure SDK v12 dziedziczą ten ciąg.

Oryginalny opis (angielski, źródło NVD)

ApostropheCMS is an open-source Node.js content management system, and uploadfs is its file storage library. Prior to uploadfs 1.28.0, attacker-controlled paths that reach the local backend can contain parent-directory segments that escape the configured upload directory and affect file reads, writes, and deletion on the host filesystem. Exploitability depends on an application exposing the relevant uploadfs operations to untrusted path. This issue is fixed in uploadfs 1.28.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS