CVE-2026-42448
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W narzędziu Magic Wormhole przed wersją 0.24.0 stwierdzono podatność na path traversal podczas odbierania plików z opcją '--output <dir>', gdy katalog docelowy już istnieje. Pozwala to na zapis plików poza zamierzonym katalogiem.
Ocena ryzyka
Atakujący może nadpisać dowolne pliki w systemie ofiary, co może prowadzić do uszkodzenia danych, wstrzyknięcia złośliwego kodu lub eskalacji uprawnień.
Rekomendacja
Należy zaktualizować Magic Wormhole do wersji 0.24.0 lub nowszej, która zawiera poprawkę usuwającą podatność.
Oryginalny opis (angielski, źródło NVD)
Magic Wormhole makes it possible to get arbitrary-sized files and directories from one computer to another. Prior to 0.24.0, there is a path traversal when a receiver who specifies "--output <dir>" where that output directory currently exists (as a directory). This vulnerability is fixed in 0.24.0.