CVE-2026-51906

KrytyczneCVSS 9.1

Opublikowano: 02/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

W TaskingAI v0.3.0 w funkcji save_url_image narzędzia do generowania obrazów DALL-E 3 występuje podatność na przechodzenie po ścieżkach (path traversal), która pozwala atakującemu zapisywać pobrane obrazy w dowolnych lokalizacjach na serwerze poprzez manipulację parametrem project_id.

Ocena ryzyka

Ryzyko dla organizacji to możliwość zapisu złośliwych plików w nieautoryzowanych miejscach, co może prowadzić do naruszenia bezpieczeństwa serwera lub wykonania kodu.

Rekomendacja

Zaleca się aktualizację TaskingAI do wersji, która naprawia tę podatność, oraz walidację parametru project_id, aby zapobiec przechodzeniu po ścieżkach.

Inne podatności w TaskingAI

CVE-2026-51907Wysokie
W TaskingAI v0.3.0 w funkcji save_base64_image wtyczki QR Code Generator występuje podatność na przechodzenie po ścieżkach (path traversal), która pozwala atakującemu zapisywać pliki obrazów w dowolnych lokalizacjach na serwerze poprzez manipulację parametrem project_id.

Oryginalny opis (angielski, źródło NVD)

In TaskingAI v0.3.0 in the DALL-E 3 image generation tool save_url_image function, a path traversal vulnerability allows attackers to write downloaded images to arbitrary locations on the server filesystem by manipulating the project_id parameter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS