CVE-2026-45230
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Podatność typu path traversal w DumbAssets do wersji 1.0.11 w endpointcie POST /api/delete-file oraz parametrze tablicy filesToDelete pozwala nieuwierzytelnionym atakującym na usuwanie dowolnych plików poprzez sekwencje ../ omijające walidację granic katalogów. Atakujący mogą wykorzystać opcjonalną i domyślnie wyłączoną kontrolę uwierzytelniania, aby wyjść poza zamierzony katalog aplikacji i usunąć krytyczne pliki, takie jak server.js lub package.json, powodując całkowitą odmowę usługi.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowitą utratę dostępności aplikacji poprzez usunięcie kluczowych plików serwera, co może prowadzić do przestoju i konieczności odtworzenia środowiska z kopii zapasowej.
Rekomendacja
Należy natychmiast zaktualizować DumbAssets do wersji powyżej 1.0.11 lub zastosować obejście polegające na włączeniu i skonfigurowaniu uwierzytelniania oraz dodaniu walidacji ścieżek plików po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
DumbAssets through 1.0.11 contains a path traversal vulnerability in the POST /api/delete-file endpoint and filesToDelete array parameters that allows unauthenticated attackers to delete arbitrary files by supplying ../ sequences that bypass directory boundary validation. Attackers can exploit the optional and disabled-by-default authentication control to traverse outside the intended application directory and delete critical files such as server.js or package.json, causing complete denial of service.