CVE-2026-34745
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Fireshare, narzędzie do samodzielnego hostowania mediów i udostępniania linków, w wersjach przed 1.5.3 zawiera podatność w nieuwierzytelnionym endpointcie /api/uploadChunked/public. Poprawka dla CVE-2026-33645 została zastosowana tylko dla uwierzytelnionego endpointu, ale nie dla publicznego. Niezautoryzowany atakujący może wykorzystać parametr checkSum do zapisu dowolnych plików o dowolnej treści w dowolnej ścieżce zapisywalnej na serwerze. Problem naprawiono w wersji 1.5.3.
Ocena ryzyka
Atakujący bez uwierzytelnienia może zapisać złośliwe pliki na serwerze, co może prowadzić do zdalnego wykonania kodu lub defacementu strony.
Rekomendacja
Należy niezwłocznie zaktualizować Fireshare do wersji 1.5.3 lub nowszej.
Inne podatności w Fireshare
Zobacz wszystkie- CVE-2026-54337Krytyczne
Fireshare, narzędzie do samodzielnego hostowania i udostępniania mediów oraz linków, w wersjach przed 1.6.14 zawiera podatność typu argument injection w funkcji przesyłania wideo. Umożliwia ona nieuwierzytelnionemu atakującemu zapis lub nadpisanie plików systemowych. Wersja 1.6.14 naprawia problem.
- CVE-2025-67728Krytyczne
Fireshare umożliwia samodzielne hostowanie mediów i udostępnianie linków. Wersje 1.2.30 i niższe pozwalają uwierzytelnionemu użytkownikowi (lub nieuwierzytelnionemu, jeśli włączone jest ustawienie Public Uploads) na utworzenie złośliwej nazwy pliku podczas przesyłania wideo. Złośliwa nazwa pliku jest następnie bezpośrednio łączona z poleceniem powłoki, co może być wykorzystane do przesyłania plików do dowolnych katalogów przez path traversal lub wykonywania poleceń systemowych (RCE). Problem został naprawiony w wersji 1.3.0.
- CVE-2026-54544Wysokie
Fireshare ułatwia samodzielne udostępnianie multimediów i linków. Przed wersją 1.6.16 dwa punkty API, które wyzwalają wychodzące żądania HTTP, nie mają dekoratora @login_required. Nieuwierzytelniony atakujący może wywołać POST /api/test-discord-webhook lub POST /api/test-webhook i spowodować, że serwer Fireshare wyśle dowolny HTTP POST na dowolny URL podany przez atakującego, w tym adresy sieci wewnętrznej i usługi metadanych chmury. Nie są wymagane żadne poświadczenia, ciasteczka sesji ani wcześniejszy dostęp. Wersja 1.6.16 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Fireshare facilitates self-hosted media and link sharing. Prior to version 1.5.3, the fix for CVE-2026-33645 was applied to the authenticated /api/uploadChunked endpoint but was not applied to the unauthenticated /api/uploadChunked/public endpoint in the same file (app/server/fireshare/api.py). An unauthenticated attacker can exploit the checkSum parameter to write arbitrary files with attacker-controlled content to any writable path on the server filesystem. This issue has been patched in version 1.5.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS