CVE-2026-5027
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Endpoint 'POST /api/v2/files' nie oczyszcza parametru 'filename' z danych formularza multipart, co pozwala atakującemu na zapis plików w dowolnych lokalizacjach systemu plików przy użyciu sekwencji przejścia ścieżki ('../').
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do wrażliwych danych lub modyfikacji plików na serwerze, co stwarza poważne zagrożenie dla integralności systemu.
Rekomendacja
Zaleca się wprowadzenie walidacji i oczyszczania danych wejściowych dla parametru 'filename', aby zapobiec wykorzystaniu sekwencji przejścia ścieżki.
Oryginalny opis (angielski, źródło NVD)
The 'POST /api/v2/files' endpoint does not sanitize the 'filename' parameter from the multipart form data, allowing an attacker to write files to arbitrary locations on the filesystem using path traversal sequences ('../').