CVE-2026-11442

ŚrednieCVSS 6.5

Opublikowano: 13/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.25%

Percentyl 66 - wyżej niż 66% wszystkich znanych CVE

Streszczenie

Podatność w Allegra polegająca na przechodzeniu do katalogów (directory traversal) w metodzie exportReport. Umożliwia zdalne ujawnienie poufnych informacji. Wymagane uwierzytelnienie.

Ocena ryzyka

Atakujący z kontem użytkownika może odczytać dowolne pliki na serwerze, w tym dane konfiguracyjne i poufne dokumenty.

Rekomendacja

Zaktualizuj Allegra do wersji zawierającej poprawkę lub zastosuj reguły walidacji ścieżek w metodzie exportReport.

Inne podatności w Allegra

CVE-2026-11443Średnie
Allegra zawiera podatność na Cross-Site Scripting (XSS) w metodzie downloadAttachment, umożliwiającą ominięcie uwierzytelniania. Podatność wynika z braku walidacji danych wejściowych, co pozwala na wstrzyknięcie dowolnego skryptu. Do wykorzystania wymagana jest interakcja użytkownika (odwiedzenie złośliwej strony lub otwarcie pliku).

Oryginalny opis (angielski, źródło NVD)

Allegra exportReport Directory Traversal Information Disclosure Vulnerability. This vulnerability allows remote attackers to disclose sensitive information on affected installations of Allegra. Authentication is required to exploit this vulnerability. The specific flaw exists within the exportReport method. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to disclose information in the context of the service account. Was ZDI-CAN-28208.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS