CVE-2026-54337
KrytyczneCVSS 9.8Streszczenie
Fireshare, narzędzie do samodzielnego hostowania i udostępniania mediów oraz linków, w wersjach przed 1.6.14 zawiera podatność typu argument injection w funkcji przesyłania wideo. Umożliwia ona nieuwierzytelnionemu atakującemu zapis lub nadpisanie plików systemowych. Wersja 1.6.14 naprawia problem.
Ocena ryzyka
Nieuwierzytelniony atakujący może nadpisać pliki systemowe na serwerze, co może prowadzić do uszkodzenia systemu lub dalszej eskalacji uprawnień. Ryzyko jest wysokie dla instancji Fireshare wystawionych publicznie.
Rekomendacja
Zaktualizuj Fireshare do wersji 1.6.14 lub nowszej. Ogranicz dostęp do funkcji przesyłania plików oraz rozważ umieszczenie instancji za uwierzytelniającym reverse proxy.
Inne podatności w Fireshare
Zobacz wszystkie- CVE-2026-54544Wysokie
Fireshare ułatwia samodzielne udostępnianie multimediów i linków. Przed wersją 1.6.16 dwa punkty API, które wyzwalają wychodzące żądania HTTP, nie mają dekoratora @login_required. Nieuwierzytelniony atakujący może wywołać POST /api/test-discord-webhook lub POST /api/test-webhook i spowodować, że serwer Fireshare wyśle dowolny HTTP POST na dowolny URL podany przez atakującego, w tym adresy sieci wewnętrznej i usługi metadanych chmury. Nie są wymagane żadne poświadczenia, ciasteczka sesji ani wcześniejszy dostęp. Wersja 1.6.16 zawiera poprawkę.
- CVE-2026-34745Krytyczne
Fireshare, narzędzie do samodzielnego hostowania mediów i udostępniania linków, w wersjach przed 1.5.3 zawiera podatność w nieuwierzytelnionym endpointcie /api/uploadChunked/public. Poprawka dla CVE-2026-33645 została zastosowana tylko dla uwierzytelnionego endpointu, ale nie dla publicznego. Niezautoryzowany atakujący może wykorzystać parametr checkSum do zapisu dowolnych plików o dowolnej treści w dowolnej ścieżce zapisywalnej na serwerze. Problem naprawiono w wersji 1.5.3.
- CVE-2025-67728Krytyczne
Fireshare umożliwia samodzielne hostowanie mediów i udostępnianie linków. Wersje 1.2.30 i niższe pozwalają uwierzytelnionemu użytkownikowi (lub nieuwierzytelnionemu, jeśli włączone jest ustawienie Public Uploads) na utworzenie złośliwej nazwy pliku podczas przesyłania wideo. Złośliwa nazwa pliku jest następnie bezpośrednio łączona z poleceniem powłoki, co może być wykorzystane do przesyłania plików do dowolnych katalogów przez path traversal lub wykonywania poleceń systemowych (RCE). Problem został naprawiony w wersji 1.3.0.
Oryginalny opis (angielski, źródło NVD)
Fireshare facilitates self-hosted media and link sharing. Prior to version 1.6.14, an argument Injection in the video upload function allows unauthenticated attacker to write/overwrite system files. Version 1.6.14 fixes the issue.