CVE-2026-44522

Wysokie

Opublikowano: 14/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Aplikacja Note Mark, od wersji 0.13.0 do przed 0.19.4, pozwala uwierzytelnionym użytkownikom na przesyłanie zasobów do notatek bez odpowiedniej walidacji nazwy pliku. Nazwa pliku jest przechowywana w bazie danych bez sanitizacji, co umożliwia atakującemu wykorzystanie sekwencji przejścia do katalogu.

Ocena ryzyka

Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do plików systemowych, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.

Rekomendacja

Zaleca się aktualizację aplikacji Note Mark do wersji 0.19.4 lub nowszej oraz wprowadzenie odpowiedniej walidacji i sanitizacji nazw plików przesyłanych przez użytkowników.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Note Mark is an open-source note-taking application. From 0.13.0 to before 0.19.4, the Note Mark application allows authenticated users to upload assets to notes via POST /api/notes/{noteID}/assets, where the asset filename is provided through the X-Name HTTP request header. This value is stored directly in the database without any sanitization or validation - no path separator filtering, no directory traversal sequence rejection, and no use of filepath.Base() to strip directory components. The unsanitized name is persisted as-is in the note_assets table (Name column, varchar(80)). When an administrator subsequently runs the data export CLI commands (note-mark migrate export-v1 or note-mark migrate export), the stored asset name is passed directly into filepath.Join() and path.Join() calls as part of the output file path argument to os.Create(). Since Go's filepath.Join() resolves ../ sequences during path normalization, an attacker-controlled asset name containing directory traversal