CVE-2026-59148

WysokieCVSS 8.8

Opublikowano: 09/07/2026(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Podatność w Mockoon przed wersją 9.7.0 pozwala nieuwierzytelnionemu atakującemu na zdalne odczytywanie zmiennych środowiskowych MOCKOON_*, zapisywanie dowolnych zmiennych środowiskowych procesu, modyfikowanie treści odpowiedzi mock API, odczytywanie logów transakcji oraz czyszczenie stanu aplikacji poprzez interfejs API admina, który jest domyślnie włączony i nie wymaga uwierzytelnienia.

Ocena ryzyka

Ryzyko dla organizacji obejmuje wyciek wrażliwych danych konfiguracyjnych (zmienne środowiskowe), możliwość przejęcia kontroli nad mock API (modyfikacja odpowiedzi) oraz potencjalny wgląd w dane przesyłane przez aplikację (logi transakcji).

Rekomendacja

Należy niezwłocznie zaktualizować Mockoon do wersji 9.7.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy wyłączyć interfejs API admina lub ograniczyć do niego dostęp za pomocą zapory sieciowej.

Inne podatności w Mockoon

CVE-2026-59149Średnie
Podatność w Mockoon przed wersją 9.7.0 umożliwia nieuwierzytelnionemu klientowi odczyt plików spoza katalogu serwowanego. Problem wynika z nieprawidłowego sprawdzenia ścieżki w funkcji getSafeFilePath, które nie uwzględnia separatora ścieżki, co pozwala na ominięcie zabezpieczenia przez sekwencję ../.

Oryginalny opis (angielski, źródło NVD)

Mockoon provides way to design and run mock APIs. Prior to 9.7.0, Mockoon's admin API in commons-server/src/libs/server/admin-api.ts is mounted on the same Express listener as user-defined mock routes, enabled by default in shipped runtimes, serves Access-Control-Allow-Origin: * with write methods allowed, and has no authentication. Any unauthenticated caller who can reach the mock server port can read MOCKOON_* environment variables, write arbitrary process environment variables through /mockoon-admin/env-vars, rewrite mock route bodies, statuses, and headers through PUT /mockoon-admin/environment, read transaction logs and SSE streams, and purge state. This issue is fixed in version 9.7.0.