CVE-2026-25057
KrytyczneStreszczenie
MarkUs to aplikacja webowa do składania i oceniania prac studentów. W wersjach przed 2.9.1, instruktorzy mogli przesyłać plik zip, aby utworzyć zadanie z wyeksportowanej konfiguracji, co prowadziło do możliwości zapisu plików na dysku bez odpowiedniej weryfikacji ścieżek.
Ocena ryzyka
Brak weryfikacji ścieżek może prowadzić do nieautoryzowanego dostępu do systemu plików, co stwarza ryzyko dla integralności i poufności danych w organizacji.
Rekomendacja
Zaleca się aktualizację aplikacji MarkUs do wersji 2.9.1 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
MarkUs is a web application for the submission and grading of student assignments. Prior to 2.9.1, instructors are able to upload a zip file to create an assignment from an exported configuration (courses/<:course_id>/assignments/upload_config_files). The uploaded zip file entry names are used to create paths to write files to disk without checking these paths. This vulnerability is fixed in 2.9.1.