CVE-2026-45224
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Crabbox przed wersją 0.9.0 zawiera podatność na przechodzenie poza katalog (path traversal) w dostawcy Islo podczas rozwiązywania ścieżki obszaru roboczego. Atakujący może dostarczyć absolutne lub względne ścieżki, które wychodzą poza zamierzony katalog /workspace.
Ocena ryzyka
Ryzyko polega na możliwości usunięcia lub nadpisania dowolnych plików w systemie, gdy funkcja sync.delete jest włączona. Atakujący może wykorzystać złośliwy plik .crabbox.yaml lub crabbox.yaml z sekwencjami przejścia, co prowadzi do wykonania operacji rm -rf i mkdir -p na nieprawidłowo zweryfikowanej ścieżce.
Rekomendacja
Należy natychmiast zaktualizować Crabbox do wersji 0.9.0 lub nowszej. Przed aktualizacją zaleca się wyłączenie funkcji sync.delete i ręczne sprawdzenie plików konfiguracyjnych pod kątem podejrzanych ścieżek.
Inne podatności w Crabbox
Zobacz wszystkie- CVE-2026-8634Krytyczne
Podatność w Crabbox przed wersją 0.12.0 umożliwia wyciek zmiennych środowiskowych, takich jak tokeny API, dane uwierzytelniające do chmury i tokeny brokera, do zdalnego środowiska poleceń. Atakujący z dostępem do złośliwego lub skompromitowanego repozytorium mogą wykorzystać zbyt liberalne reguły dozwalania zmiennych środowiskowych w lokalnej konfiguracji repozytorium Crabbox.
- CVE-2026-8629Wysokie
Podatność w Crabbox przed wersją 0.12.0 umożliwia eskalację uprawnień użytkownikom z dostępem tylko do odczytu. Atakujący mogą wysyłać żądania POST do endpointów ticketów, aby uzyskać bilety agentów Code, WebVNC i Egress, co pozwala na podszywanie się pod zaufane mosty.
- CVE-2026-8621Wysokie
Podatność w Crabbox przed wersją 0.12.0 umożliwia ominięcie uwierzytelniania. Osoby posiadające token współdzielony mogą podszyć się pod innych właścicieli lub organizacje poprzez fałszowanie nagłówków tożsamości.
- CVE-2026-45223Wysokie
Crabbox przed wersją 0.9.0 zawiera podatność na pominięcie uwierzytelniania w ścieżce weryfikacji tokena użytkownika koordynatora. Funkcja verifyUserToken() nie odrzuca ładunków zawierających deklarację admin, co umożliwia atakującym eskalację uprawnień.
Oryginalny opis (angielski, źródło NVD)
Crabbox before 0.9.0 contains a path traversal vulnerability in the Islo provider's workspace path resolution that allows attackers to supply absolute or relative paths that resolve outside the intended /workspace directory. Attackers can craft a malicious .crabbox.yaml or crabbox.yaml file with traversal sequences to cause arbitrary file deletion and overwrite when sync.delete is enabled, as the workspace preparation logic executes rm -rf and mkdir -p operations on the resolved path without proper validation.