CVE-2026-41046
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność typu path traversal w qSnapper przed wersją 1.3.3 umożliwia lokalnemu atakującemu użycie złośliwych plików konfiguracyjnych snappera poprzez parametr "configName". Może to prowadzić do odmowy usługi lub potencjalnej eskalacji uprawnień do roota.
Ocena ryzyka
Organizacja narażona jest na ryzyko przejęcia kontroli nad systemem przez lokalnego użytkownika, co może skutkować całkowitą kompromitacją poufności, integralności i dostępności danych.
Rekomendacja
Należy niezwłocznie zaktualizować qSnapper do wersji 1.3.3 lub nowszej, która eliminuje podatność. Dodatkowo warto ograniczyć dostęp lokalny do systemu tylko zaufanym użytkownikom.
Inne podatności w qSnapper
Zobacz wszystkie- CVE-2026-41049Wysokie
Podatność w usłudze dbus qSnapper przed wersją 1.3.3 powoduje nieprawidłowe buforowanie uwierzytelniania między różnymi użytkownikami. Lokalny atakujący może wykorzystać funkcje dbus po uwierzytelnieniu uprzywilejowanego użytkownika.
- CVE-2026-41048Wysokie
W qSnapper przed wersją 1.3.3 wykryto nieprawidłowe buforowanie uwierzytelniania między różnymi metodami polkit. Lokalny atakujący mógł wykorzystać funkcje takie jak 'przywróć z migawki', nawet jeśli miał tylko uprawnienia do 'usuń migawkę'.
- CVE-2026-41047Średnie
W qSnapper przed wersją 1.3.3 brak uwierzytelnienia w funkcjach "snapshot diff" umożliwiał lokalnemu atakującemu odczytanie informacji chronionych przed odczytem.
- CVE-2026-41045Wysokie
Podatność typu TOCTOU (time-to-check-time-of-use) w mechanizmie uwierzytelniania polkit w qSnapper przed wersją 1.3.3 umożliwia lokalnemu atakującemu ominięcie uwierzytelniania i działanie z uprawnieniami roota.
Oryginalny opis (angielski, źródło NVD)
A path traversal attack when using a "configName" parameter in qSnapper before version 1.3.3 allowed a local attacker to use malicious config files for snapper and so cause a denial of service or potentially escalate privileges to root.