CVE-2026-30117
KrytyczneStreszczenie
W wersji 0.1.13 biblioteki scalar/astro odkryto podatność na nieautoryzowane przesyłanie plików w parametrze zapytania scalar_url punktu końcowego Scalar Proxy. Umożliwia to atakującym wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku SVG.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ pozwala na zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację biblioteki scalar/astro do najnowszej wersji oraz wdrożenie mechanizmów ograniczających możliwość przesyłania plików przez użytkowników.
Oryginalny opis (angielski, źródło NVD)
scalar/astro v0.1.13 was discovered to contain an arbitrary file upload vulnerability in the the scalar_url query parameter of the Scalar Proxy endpoint. This vulnerability allows attackers to execute arbitrary code via uploading a crafted SVG file.