CVE-2026-54707

ŚrednieCVSS 5.4

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

OnionShare przed wersją 2.6.4 nie egzekwuje ustawienia disable_files w trybie Receive w pliku cli/onionshare_cli/web/receive_mode.py. Funkcja ReceiveModeRequest._get_file_stream() zapisuje dane multipart file[] na dysk, mimo że ustawiono tryb tylko-tekstowy. Problem został naprawiony w wersji 2.6.4.

Ocena ryzyka

Ryzyko polega na tym, że użytkownicy mogą przesyłać pliki mimo ograniczenia do tekstu, co może prowadzić do nieautoryzowanego przechowywania danych na serwerze.

Rekomendacja

Zaleca się aktualizację do wersji 2.6.4 lub nowszej.

Inne podatności w OnionShare

CVE-2026-54706Średnie
OnionShare przed wersją 2.6.4 podąża za dowiązaniami symbolicznymi w pliku cli/onionshare_cli/web/send_base_mode.py poprzez funkcje SendBaseModeWeb.set_file_info() i stream_individual_file(), co pozwala zdalnym odbiorcom w trybie Share lub Website na odczyt lokalnych plików poza wybranym katalogiem. Problem został naprawiony w wersji 2.6.4.

Oryginalny opis (angielski, źródło NVD)

OnionShare is an open source tool that lets you securely and anonymously share files, host websites, and chat with friends using the Tor network. Prior to 2.6.4, OnionShare CLI/Desktop does not enforce the Receive mode disable_files setting in cli/onionshare_cli/web/receive_mode.py, where ReceiveModeRequest._get_file_stream() writes multipart file[] data to disk despite the text-only setting. This issue is fixed in version 2.6.4.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS