CVE-2026-42270
WysokieCVSS 7.5Streszczenie
W countly-server publiczne trasy obrazów i zrzutów ekranu korzystające z lokalnego backendu systemu plików wywołują getStream i przekazują strumienie do odpowiedzi HTTP bez nasłuchiwania błędów. Nieuwierzytelnione żądanie z zakodowaną kropką może sprawić, że createReadStream otworzy katalog, wyemituje asynchroniczny błąd EISDIR i zakończy proces Node.js jako nieobsłużony wyjątek. Luka naprawiona w wersjach 24.05.50 i 25.03.44.
Ocena ryzyka
Powtarzane żądania mogą trwale unieruchomić API analityczne Countly, powodując odmowę usługi.
Rekomendacja
Zaktualizuj countly-server do wersji 24.05.50 lub 25.03.44 (lub nowszej). Rozważ ograniczenie dostępu do publicznych tras obrazów jako środek tymczasowy.
Inne podatności w countly-server
Zobacz wszystkie- CVE-2026-42269Wysokie
W countly-server uwierzytelniona trasa usuwania danych migracji przekazuje kontrolowany przez użytkownika exportid do clean_up_data bez walidacji ścieżki. Identyfikator jest łączony w ścieżkę rozwiązywaną poza zamierzonym katalogiem importu i usuwany rekurencyjnie, co pozwala administratorowi aplikacji lub użytkownikowi z uprawnieniami migracji usuwać pliki i drzewa katalogów. Luka naprawiona w wersjach 24.05.50 i 25.03.44.
- CVE-2026-41582Wysokie
W countly-server publiczne trasy obrazów i zrzutów ekranu łączą kontrolowane przez atakującego ścieżki wieloznaczne bez walidacji zawierania. W wdrożeniach z lokalnym backendem systemu plików nieuwierzytelnione żądanie może wyjść poza zamierzone katalogi zasobów i dotrzeć do getStats lub getStream, ujawniając dowolne czytelne pliki serwera. Luka naprawiona w wersjach 24.05.50 i 25.03.44.
Oryginalny opis (angielski, źródło NVD)
countly-server is the server-side part of Countly, a product analytics solution. Prior to 24.05.50 and 25.03.44, star-rating/images/ and dashboards/images/screenshots/ are among public image and screenshot routes using the local fs storage backend that call getStream and pipe filesystem streams to HTTP responses without an error listener. An unauthenticated request containing a URL-encoded dot can make createReadStream open a directory, emit an asynchronous EISDIR error, and terminate the Node.js process as an unhandled exception, allowing repeated requests to keep the analytics API unavailable. The affected routes also include /appimages/*, /memberimages/*, and */screenshots/*. This issue is fixed in versions 24.05.50 and 25.03.44.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS