CVE-2026-54706

ŚrednieCVSS 4.8

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

OnionShare przed wersją 2.6.4 podąża za dowiązaniami symbolicznymi w pliku cli/onionshare_cli/web/send_base_mode.py poprzez funkcje SendBaseModeWeb.set_file_info() i stream_individual_file(), co pozwala zdalnym odbiorcom w trybie Share lub Website na odczyt lokalnych plików poza wybranym katalogiem. Problem został naprawiony w wersji 2.6.4.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego odczytu plików z systemu plików serwera, co może prowadzić do wycieku poufnych danych.

Rekomendacja

Zaleca się aktualizację do wersji 2.6.4 lub nowszej.

Inne podatności w OnionShare

CVE-2026-54707Średnie
OnionShare przed wersją 2.6.4 nie egzekwuje ustawienia disable_files w trybie Receive w pliku cli/onionshare_cli/web/receive_mode.py. Funkcja ReceiveModeRequest._get_file_stream() zapisuje dane multipart file[] na dysk, mimo że ustawiono tryb tylko-tekstowy. Problem został naprawiony w wersji 2.6.4.

Oryginalny opis (angielski, źródło NVD)

OnionShare is an open source tool that lets you securely and anonymously share files, host websites, and chat with friends using the Tor network. Prior to 2.6.4, OnionShare CLI/Desktop follows symbolic links in cli/onionshare_cli/web/send_base_mode.py through SendBaseModeWeb.set_file_info() and stream_individual_file(), allowing remote recipients of Share or Website mode to read local files outside the selected directory. This issue is fixed in version 2.6.4.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS