CVE-2026-114492
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
gin-vue-admin do wersji 2.9.2 zawiera podatność path traversal, która pozwala uwierzytelnionym administratorom na rekurencyjne usuwanie dowolnych katalogów poprzez podanie sekwencji przejścia w parametrze pluginName. Atakujący może wysłać spreparowane żądanie POST do /autoCode/removePlugin z sekwencjami '../', powodując usunięcie przez os.RemoveAll dowolnego katalogu z prawem zapisu dla procesu serwera.
Ocena ryzyka
Uwierzytelniony administrator może przypadkowo lub celowo usunąć krytyczne katalogi systemowe, co prowadzi do utraty danych lub niedostępności usługi.
Rekomendacja
Zaktualizuj gin-vue-admin do wersji z poprawką lub ogranicz uprawnienia administracyjne i zweryfikuj poprawność walidacji parametru pluginName.
Inne podatności w gin-vue-admin
Zobacz wszystkie- CVE-2026-48787Wysokie
W wersji 2.9.1 platformy gin-vue-admin, uwierzytelniony atakujący z dostępem do funkcji generowania kodu i interfejsu zarządzania MCP może wykorzystać tę podatność do wstrzyknięcia kontrolowanego przez siebie kodu źródłowego Go, co prowadzi do wykonania dowolnych poleceń systemowych na serwerze.
- CVE-2022-47762Wysokie
W gin-vue-admin w wersji < 2.5.5 moduł pobierania zawiera podatność typu Path Traversal.
Oryginalny opis (angielski, źródło NVD)
gin-vue-admin through 2.9.2 contains a path traversal vulnerability that allows authenticated administrators to recursively delete arbitrary directories by supplying traversal sequences in the pluginName parameter. Attackers can send a crafted POST request to /autoCode/removePlugin with '../' sequences, causing os.RemoveAll to delete any directory writable by the server process.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS