CVE-2026-59149

ŚrednieCVSS 6.5

Opublikowano: 09/07/2026(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Podatność w Mockoon przed wersją 9.7.0 umożliwia nieuwierzytelnionemu klientowi odczyt plików spoza katalogu serwowanego. Problem wynika z nieprawidłowego sprawdzenia ścieżki w funkcji getSafeFilePath, które nie uwzględnia separatora ścieżki, co pozwala na ominięcie zabezpieczenia przez sekwencję ../.

Ocena ryzyka

Atakujący może odczytać poufne pliki systemowe lub dane aplikacji znajdujące się poza zamierzonym katalogiem, co prowadzi do wycieku informacji i potencjalnej eskalacji ataku.

Rekomendacja

Należy niezwłocznie zaktualizować Mockoon do wersji 9.7.0 lub nowszej, która zawiera poprawkę usuwającą podatność.

Inne podatności w Mockoon

CVE-2026-59148Wysokie
Podatność w Mockoon przed wersją 9.7.0 pozwala nieuwierzytelnionemu atakującemu na zdalne odczytywanie zmiennych środowiskowych MOCKOON_*, zapisywanie dowolnych zmiennych środowiskowych procesu, modyfikowanie treści odpowiedzi mock API, odczytywanie logów transakcji oraz czyszczenie stanu aplikacji poprzez interfejs API admina, który jest domyślnie włączony i nie wymaga uwierzytelnienia.

Oryginalny opis (angielski, źródło NVD)

Mockoon provides way to design and run mock APIs. Prior to 9.7.0, a FILE response whose filePath embeds request data is confined by getSafeFilePath in packages/commons-server/src/libs/server/server.ts with resolvedPath.startsWith(staticBaseDir). That prefix test has no path-separator boundary, so a ../-escaped path whose absolute form string-prefixes the base directory passes, allowing an unauthenticated client to read files from sibling paths outside the served directory through HTTP sendFile, WebSocket, or callbacks. This issue is fixed in version 9.7.0.