CVE-2026-45576

WysokieCVSS 7.5

Opublikowano: 16/07/2026(UTC)Zaktualizowano: 20/07/2026(UTC)Przetłumaczono: 21/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

Podatność w oprogramowaniu zrok (wersje od 0.4.23 do 2.0.3) pozwala atakującemu na zapis plików poza wybranym katalogiem docelowym poprzez kontrolowane ścieżki WebDAV lub zrok drive, takie jak /../outside.txt. Problem został naprawiony w wersji 2.0.3.

Ocena ryzyka

Atakujący może nadpisać lub umieścić złośliwe pliki w dowolnej lokalizacji systemu plików, co może prowadzić do eskalacji uprawnień, uruchomienia nieautoryzowanego kodu lub naruszenia integralności danych.

Rekomendacja

Niezwłocznie zaktualizuj zrok do wersji 2.0.3 lub nowszej. Jeśli aktualizacja nie jest możliwa, ogranicz zaufanie do źródeł WebDAV i zrok drive.

Inne podatności w zrok

CVE-2026-45568Krytyczne
Podatność w zrok przed wersją 2.0.3 pozwala atakującemu na przekazanie absolutnego URL-a w ścieżce żądania do proxy Flask SDK Python. Funkcja urllib.parse.urljoin umożliwia zastąpienie skonfigurowanego hosta docelowego, co skutkuje wysłaniem żądania przez serwer do adresu URL wybranego przez atakującego.

Oryginalny opis (angielski, źródło NVD)

zrok is software for sharing web services, files, and network resources. From 0.4.23 until 2.0.3, `zrok2 copy` stores attacker-controlled WebDAV or zrok drive paths such as /../outside.txt in the source inventory and passes them to FilesystemTarget.WriteStream, allowing the sync pipeline to write files outside the selected local filesystem destination root. This issue is fixed in version 2.0.3.