CVE-2026-40005
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W Apache IoTDB wykryto podatność polegającą na nieprawidłowym ograniczeniu ścieżki do zastrzeżonego katalogu (Path Traversal). Atakujący może zapisywać dowolne pliki w lokalizacjach, do których proces IoTDB ma uprawnienia zapisu, korzystając z niebezpiecznego API.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego zapisu złośliwych plików (np. skryptów, konfiguracji) w systemie, co może prowadzić do eskalacji uprawnień, uruchomienia dowolnego kodu lub trwałego uszkodzenia danych.
Rekomendacja
Należy niezwłocznie zaktualizować Apache IoTDB do wersji 2.0.10, która usuwa tę podatność. Przed aktualizacją warto ograniczyć dostęp do niebezpiecznego API dla niezaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Apache IoTDB. An attacker can write arbitrary files anywhere the IoTDB process has write permissions with unsafe API. This issue affects Apache IoTDB: from 1.0.0 before 2.0.10. Users are recommended to upgrade to version 2.0.10, which fixes the issue.