CVE-2026-28518
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W OpenViking w wersjach 0.2.1 i wcześniejszych, naprawionym w commicie 46b3e76, występuje podatność na path traversal podczas importowania plików .ovpack. Atakujący może spreparować złośliwe archiwum ZIP zawierające ścieżki z sekwencjami przejścia do katalogu nadrzędnego, ścieżki absolutne lub prefiksy dysków, co pozwala na zapis plików poza docelowym katalogiem importu.
Ocena ryzyka
Ryzyko polega na możliwości nadpisania lub utworzenia dowolnych plików z uprawnieniami procesu importującego, co może prowadzić do przejęcia kontroli nad systemem, eskalacji uprawnień lub uszkodzenia danych.
Rekomendacja
Należy natychmiast zaktualizować OpenViking do wersji zawierającej commit 46b3e76 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji importu .ovpack tylko do zaufanych użytkowników.
Inne podatności w OpenViking
Zobacz wszystkie- CVE-2026-22681Wysokie
OpenViking przed wersją 0.3.4 zawiera podatność na podrabianie żądań po stronie serwera (SSRF), która pozwala uwierzytelnionym atakującym o niskich uprawnieniach na dostęp do wewnętrznych usług sieciowych poprzez wysyłanie dowolnych adresów URL do punktu końcowego API zasobów.
- CVE-2026-40525Krytyczne
OpenViking przed wersją 0.3.9 zawiera podatność polegającą na pominięciu uwierzytelniania w interfejsie API VikingBot OpenAPI. Gdy wartość konfiguracyjna api_key jest pusta lub nieustawiona, sprawdzenie uwierzytelnienia kończy się sukcesem, umożliwiając zdalnym atakującym dostęp do chronionych funkcji bota bez podawania nagłówka X-API-Key.
- CVE-2026-75480Średnie
OpenViking w punktach końcowych debugowania wektora i licznika stosuje tylko zakres na poziomie konta, bez kontroli dostępu na poziomie użytkownika, co pozwala uwierzytelnionym użytkownikom czytać wszystkie rekordy współdzierżawców. Atakujący mogą pobierać prywatne dane, takie jak wspomnienia, zasoby, umiejętności i materiały tajne innych użytkowników w tym samym koncie.
- CVE-2026-13507Średnie
W komponencie Local VectorDB Primary-key Label Handler biblioteki OpenViking (do wersji 0.3.21) wykryto podatność polegającą na niewystarczającej weryfikacji autentyczności danych podczas przetwarzania argumentu ID w funkcji str_to_uint64. Atak może być przeprowadzony zdalnie, ale jest bardzo złożony i trudny do wykorzystania.
- CVE-2026-22680Średnie
W aplikacji OpenViking przed wersją 0.3.3 brakuje autoryzacji w endpointach do monitorowania zadań. Niezalogowani atakujący mogą wyliczać i odczytywać metadane zadań innych użytkowników, w tym typ zadania, status, identyfikatory zasobów, URI archiwów, wyniki i błędy.
- CVE-2026-34999Średnie
OpenViking w wersjach od 0.2.5 do 0.2.13 zawiera brak uwierzytelniania w routerze proxy bota, co pozwala zdalnym, nieuwierzytelnionym atakującym na dostęp do chronionych funkcji proxy bota poprzez wysyłanie żądań do endpointów POST /bot/v1/chat i POST /bot/v1/chat/stream. Atakujący mogą ominąć mechanizmy uwierzytelniania i bezpośrednio komunikować się z backendem bota przez proxy OpenViking bez podawania prawidłowych poświadczeń.
Oryginalny opis (angielski, źródło NVD)
OpenViking versions 0.2.1 and prior, fixed in commit 46b3e76, contain a path traversal vulnerability in the .ovpack import handling that allows attackers to write files outside the intended import directory. Attackers can craft malicious ZIP archives with traversal sequences, absolute paths, or drive prefixes in member names to overwrite or create arbitrary files with the importing process privileges.