CVE-2026-33588
WysokieStreszczenie
Brak walidacji danych wejściowych użytkownika w funkcjonalności przesyłania plików w Open Notebook v1.8.3 umożliwia użytkownikowi aplikacji tworzenie lub modyfikowanie plików w kontenerze docker poprzez atak typu path traversal.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane modyfikacje plików, co może prowadzić do utraty danych lub naruszenia integralności systemu.
Rekomendacja
Zaleca się wdrożenie walidacji danych wejściowych w funkcjonalności przesyłania plików oraz ograniczenie uprawnień do kontenera docker.
Inne podatności w Open Notebook v1.8.3
Zobacz wszystkie- CVE-2026-28201Wysokie
Wersja 1.8.1 Open Notebook zawiera niewłaściwą walidację danych wejściowych oraz zbyt liberalną domyślną konfigurację CORS, co umożliwia zdalnemu atakującemu oszukanie legalnego użytkownika w celu zmiany lub usunięcia dowolnych wpisów w bazie danych za pomocą specjalnie przygotowanego złośliwego URL.
- CVE-2026-33587Krytyczne
Brak sanitizacji danych wejściowych użytkownika w Open Notebook v1.8.3 umożliwia wykonanie kodu Pythona (a następnie poleceń systemowych) w kontenerze docker poprzez wstrzyknięcie szablonu po stronie serwera (SSTI) dla transformacji tworzonych przez użytkownika.
Oryginalny opis (angielski, źródło NVD)
Lack of user input validation in the file upload functionality of Open Notebook v1.8.3 allows the application user to create or modify files on the docker container via path traversal.