CVE-2026-54134
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3 ma niezgodność w parsowaniu parametrów żądań między niestandardowym handlerem Tornado a Flask/Werkzeug, co pozwala atakującemu z uprawnieniem FILE_UPLOAD wstrzykiwać zastrzeżone wewnętrzne pola uploadu przez parametry zapytania lub różnice w parserze. Dotknięte są endpointy /api/files/{local|sdcard}, /api/languages, /plugin/backup/restore i /plugin/pluginmanager/upload_file.
Ocena ryzyka
Atakujący może sprawić, że OctoPrint potraktuje dowolny plik hosta jako tymczasowy upload, przenieść go do katalogu pobierania, ujawnić sekrety konfiguracji lub inne czytelne pliki oraz usunąć pliki runtime, co może wpłynąć na późniejszy restart.
Rekomendacja
Zaktualizuj OctoPrint do wersji 1.11.8 lub 2.0.0rc3, które zawierają poprawkę.
Inne podatności w OctoPrint
Zobacz wszystkie- CVE-2025-58180Wysokie
OctoPrint w wersjach do 1.11.2 włącznie zawiera podatność, która pozwala uwierzytelnionemu atakującemu przesłać plik o specjalnie spreparowanej nazwie, umożliwiając wykonanie dowolnego polecenia, jeśli nazwa pliku zostanie użyta w poleceniu zdefiniowanym w systemowym obsługiwaczu zdarzeń i zdarzenie zostanie wywołane. Podatność nie ma wpływu, jeśli nie skonfigurowano obsługiwaczy zdarzeń wykonujących polecenia systemowe z nazwami przesłanych plików.
- CVE-2026-35163Średnie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3, powiadomienia o stłumionych komendach używają renderowania PNotify dla wartości payload.command i payload.message kontrolowanych przez drukarkę w src/octoprint/static/js/app/viewmodels/terminal.js bez escapowania HTML. Atakujący, który przekona ofiarę do wydrukowania spreparowanego pliku, może wstrzyknąć HTML i JavaScript do powiadomienia, zakłócić drukowanie, odczytać informacje dostępne ofierze, w tym wrażliwe ustawienia, gdy są dozwolone, lub wykonać działania w sesji OctoPrint ofiary.
Oryginalny opis (angielski, źródło NVD)
OctoPrint provides a web interface for controlling consumer 3D printers. Prior to 1.11.8 and 2.0.0rc3, OctoPrint's custom Tornado upload handler and Flask with Werkzeug parse request parameters differently, allowing an attacker with FILE_UPLOAD permission to inject reserved internal upload fields through query parameters or parser differentials despite the earlier GHSA-m9jh-jf9h-x3h2 fix. The affected endpoints are /api/files/{local|sdcard}, /api/languages, /plugin/backup/restore, and /plugin/pluginmanager/upload_file. An attacker can make OctoPrint treat an arbitrary host file as a temporary upload, move it into a downloadable upload directory, disclose configuration secrets or other readable files, and remove runtime files in a way that can affect a later restart. This issue is fixed in versions 1.11.8 and 2.0.0rc3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS