CVE-2026-59977
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W ConvertX przed wersją 0.18.0 endpoint /delete/{id} używa metody HTTP GET do trwałego usuwania bez ochrony CSRF. Jeśli uwierzytelniony użytkownik odwiedzi treści kontrolowane przez atakującego, przeglądarka wyśle cookie sesji i usunie wskazane zadanie.
Ocena ryzyka
Atakujący może doprowadzić do nieautoryzowanej utraty historii przekonwertowanych plików u ofiar. Wpływa to na integralność danych i może utrudnić audyt lub odzyskanie wyników konwersji.
Rekomendacja
Zaktualizuj ConvertX do wersji 0.18.0 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointu /delete/{id} lub wymuszenie metod innych niż GET.
Inne podatności w ConvertX
Zobacz wszystkie- CVE-2026-105080Krytyczne
W ConvertX przed wersją 0.19.0, plik converters/calibre.ts nie blokuje plików przepisów (recipe files) i przekazuje je do programu ebook-convert z Calibre. Umożliwia to wykonanie kodu zawartego w plikach .recipe lub .downloaded_recipe.
- CVE-2026-59976Wysokie
W ConvertX przed wersją 0.18.0 konwerter ImageMagick używa niesanityzowanego parametru convert_to do budowy ścieżki wyjściowej. Uwierzytelniony (lub nieuwierzytelniony, gdy dostęp jest dozwolony) użytkownik może przesłać obraz bez rozszerzenia i podać sekwencje directory traversal w convert_to przez /convert, co pozwala zapisać wynik poza docelowym katalogiem.
- CVE-2026-108694Średnie
ConvertX do wersji 0.19.0 zawiera podatność na dowolny odczyt plików, która pozwala uwierzytelnionym użytkownikom na odczyt plików serwera, ponieważ src/converters/pandoc.ts wywołuje Pandoc bez flagi --sandbox. Atakujący mogą przesłać dokument reStructuredText z dyrektywą include wskazującą ścieżkę bezwzględną, przekonwertować go i pobrać wynik zawierający zawartość wskazanego pliku.
- CVE-2026-85618Średnie
ConvertX 0.17.0 zawiera podatność dowolnego odczytu plików w konwerterze xelatex, która pozwala uwierzytelnionym użytkownikom na odczyt plików poprzez przesyłanie plików LaTeX z dyrektywami input. Atakujący mogą przesyłać pliki .tex zawierające dyrektywy \\input{path} lub \\verbatiminput{path}, aby silnik TeX odczytał dowolne pliki dostępne dla procesu serwera i umieścił je w pobieranym pliku PDF.
- CVE-2025-66449Wysokie
ConvertX, samoobsługowy konwerter plików online, w wersjach przed 0.16.0, endpoint `/upload` umożliwia uwierzytelnionemu użytkownikowi zapisywanie dowolnych plików na systemie, nadpisując pliki binarne i umożliwiając wykonanie kodu. Funkcja upload przyjmuje `file.name` bezpośrednio z danych dostarczonych przez użytkownika bez sanityzacji nazwy, co pozwala na zapis dowolnych plików.
Oryginalny opis (angielski, źródło NVD)
ConvertX is a self-hosted file conversion service. Prior to 0.18.0, the /delete/{id} endpoint uses HTTP GET for permanent deletion without CSRF protection. If an authenticated user visits attacker-controlled content that requests /delete/{id}, the browser sends the user session cookie and the request deletes the targeted job, resulting in unauthorized loss of converted-file history. This issue is fixed in version 0.18.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS