CVE-2026-36722
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność na uwierzytelnione dowolne przesyłanie plików w komponencie /api/create-car-image w bookcars v8.3 pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania kodu przez uwierzytelnionego atakującego, co może prowadzić do pełnego przejęcia serwera.
Rekomendacja
Zaleca się natychmiastową aktualizację bookcars do wersji nowszej niż 8.3 oraz wdrożenie walidacji typów plików i ograniczeń przesyłania.
Inne podatności w bookcars
Zobacz wszystkie- CVE-2026-36727Krytyczne
Niebezpieczna podatność uwierzytelniania w endpointcie /api/social-sign-in aplikacji bookcars v8.3. Atakujący może ominąć uwierzytelnianie, używając sfałszowanego tokena JWT.
- CVE-2026-36721Krytyczne
Brak weryfikacji podpisu kryptograficznego w funkcji validateAccessToken w bookcars v8.3 umożliwia atakującym ominięcie uwierzytelniania za pomocą sfałszowanego tokena JWT.
- CVE-2026-36726Średnie
Endpoint /api/delete-temp-license/{file} w bookcars v8.3 pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików poprzez sekwencje przejścia do katalogu nadrzędnego (directory traversal).
- CVE-2026-36723Wysokie
Nieograniczona podatność na zmianę nazwy pliku w komponencie /api/create-user aplikacji bookcars v8.3. Uwierzytelnieni atakujący mogą przenosić pliki z tymczasowego magazynu do dowolnych lokalizacji na serwerze, co umożliwia dostęp do wrażliwych plików, nadpisywanie krytycznych plików i zdalne wykonanie kodu.
- CVE-2026-36720Wysokie
Podatność w bookcars v8.3 związana z niebezpiecznymi uprawnieniami umożliwia uwierzytelnionym atakującym eskalację uprawnień z użytkownika do administratora poprzez modyfikację swojego typu użytkownika.
Oryginalny opis (angielski, źródło NVD)
An authenticated arbitrary file upload vulnerability in the /api/create-car-image component of bookcars v8.3 allows attackers to execute arbitrary code via uploading a crafted file.