CVE-2026-33922
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W funkcji Offline archives lokalnego interfejsu webowego wykryto podatność na path traversal z powodu niewystarczającej walidacji parametru wejściowego. Lokalny użytkownik z uprawnieniami administracyjnymi do interfejsu webowego może przesłać nazwę archiwum zawierającą sekwencje traversal i usunąć dowolne pliki dostępne dla procesu Arc, który działa z uprawnieniami administracyjnymi na hoście.
Ocena ryzyka
Atakujący z uprawnieniami administratora interfejsu może usunąć krytyczne pliki systemowe, co prowadzi do awarii systemu lub utraty danych.
Rekomendacja
Zastosuj poprawkę, która dodaje odpowiednią walidację nazw archiwów, oraz ogranicz dostęp do interfejsu administracyjnego tylko dla zaufanych osób.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability was discovered in the Offline archives functionality of the local web interface due to insufficient validation of an input parameter. A local user with administrative credentials for the web interface could submit an archive name containing traversal sequences and delete arbitrary files reachable by the Arc process, which runs with administrative privileges on the host.