CVE-2026-57871
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność polegająca na przechodzeniu do ścieżek względnych w funkcji przesyłania plików w MicroRealEstate umożliwia potencjalne nadpisywanie plików systemowych przez atakujących. Problem dotyczy wersji do 1.0.0-alpha3 włącznie.
Ocena ryzyka
Atakujący może nadpisać krytyczne pliki systemowe, co może prowadzić do naruszenia integralności systemu, uruchomienia złośliwego kodu lub całkowitego przejęcia kontroli nad aplikacją.
Rekomendacja
Należy natychmiast zaktualizować MicroRealEstate do najnowszej dostępnej wersji, która usuwa tę podatność, oraz wdrożyć walidację ścieżek plików po stronie serwera.
Inne podatności w MicroRealEstate
Zobacz wszystkie- CVE-2026-57870Średnie
W MicroRealEstate wykryto podatność polegającą na uszkodzonej kontroli dostępu na poziomie obiektu w API szablonów. Umożliwia ona atakującym pobieranie szablonów dokumentów używanych przez inne organizacje bez autoryzacji.
- CVE-2026-57869Wysokie
Podatność w MicroRealEstate wynika z uszkodzonych kontroli dostępu na poziomie obiektu oraz użycia deterministycznego wzorca podczas generowania losowych identyfikatorów. Umożliwia to atakującym nieautoryzowany dostęp do dokumentów przesłanych przez wynajmujących lub najemców.
- CVE-2026-57868Wysokie
Podatność w MicroRealEstate umożliwia nieautoryzowany dostęp do obiektów poprzez funkcję generowania PDF. Problem dotyczy wersji do 1.0.0-alpha3 włącznie.
- CVE-2026-57867Wysokie
Podatność w MicroRealEstate umożliwia atakującym ominięcie uwierzytelniania z powodu braku zarządzania stanem tokenów. Pozwala to na brute-force jednorazowych haseł (OTP) i zalogowanie się jako dowolny użytkownik.
Oryginalny opis (angielski, źródło NVD)
Relative path traversal vulnerability in MicroRealEstate file upload functionality allows attackers to potentially overwrite system files. This issue affects MicroRealEstate: through 1.0.0-alpha3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS