CVE-2026-19335
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W produkcie Jane-xiaoer skill-vision-control do wersji 1.3.0 odkryto podatność na przechodzenie po ścieżkach (path traversal) w funkcji getSkillVersionsDir pliku src/svc/utils/config.ts. Manipulacja argumentem skillName umożliwia atak tylko z lokalnego środowiska. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Lokalny atakujący może uzyskać dostęp do plików poza dozwolonym katalogiem, co może prowadzić do ujawnienia poufnych danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się monitorowanie informacji od producenta i zastosowanie poprawki, gdy tylko będzie dostępna, oraz ograniczenie lokalnego dostępu do systemu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in Jane-xiaoer skill-vision-control up to 1.3.0. This vulnerability affects the function getSkillVersionsDir of the file src/svc/utils/config.ts. Such manipulation of the argument skillName leads to path traversal. The attack can only be performed from a local environment. The project was informed of the problem early through an issue report but has not responded yet.