CVE-2026-61858
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w ImageMagick przed wersją 7.1.2-26 umożliwia ominięcie polityki bezpieczeństwa w enkoderze APNG i zewnętrznych delegatach z powodu braku walidacji. Atakujący mogą zapisywać pliki w niedozwolonych lokalizacjach, wykorzystując proces kodowania APNG.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany zapis plików w systemie, co może prowadzić do naruszenia integralności danych, eskalacji uprawnień lub dalszego ataku na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować ImageMagick do wersji 7.1.2-26 lub nowszej oraz przejrzeć i zaostrzyć konfigurację polityk bezpieczeństwa dla enkodera APNG i delegatów zewnętrznych.
Oryginalny opis (angielski, źródło NVD)
ImageMagick before 7.1.2-26 contains a policy bypass vulnerability in the APNG encoder and external delegates due to missing validation checks. Attackers can write files to disallowed paths by bypassing configured policy restrictions through the APNG encoding process.