CVE-2026-56448
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W AIL Framework przed wydaniem zawierającym commit 0041456af25da0cdea1c1c4624e46baff2731d8f występuje podatność na traversję ścieżek. Użytkownik AIL z odpowiednimi uprawnieniami może dostarczyć spreparowane identyfikatory obiektów, co pozwala na uzyskanie dostępu do plików spoza zamierzonych katalogów.
Ocena ryzyka
Podatność ta może umożliwić atakującemu pobranie i odczytanie dowolnych plików dostępnych dla procesu AIL, co stwarza poważne zagrożenie dla poufności danych.
Rekomendacja
Zaleca się aktualizację AIL Framework do wersji zawierającej poprawkę oraz wprowadzenie dodatkowych mechanizmów weryfikacji ścieżek plików, aby zapobiec podobnym atakom w przyszłości.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability exists in AIL Framework before the release containing commit 0041456af25da0cdea1c1c4624e46baff2731d8f. An authenticated AIL user can supply crafted object identifiers through the investigation workflow to cause file paths to resolve outside the intended image, favicon, or screenshot storage directories. This may allow the attacker to download and read arbitrary files that are accessible to the AIL process. The issue occurs because user-controlled path components were joined with application storage paths without verifying that the resolved path remained within the expected directory. The affected download functionality could then include the contents of such files in a generated archive.