CVE-2026-62278

WysokieCVSS 8.1

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.51%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

LubeLogger przed wersją 1.6.8 pozwala uwierzytelnionym użytkownikom niebędącym administratorami wpływać na nazwę przekazywaną do funkcji RenameFile, która buduje nową ścieżkę bez weryfikacji, czy rozwiązana ścieżka bezwzględna pozostaje w katalogu web root lub data. Spreparowana nazwa przesyłanego pliku może przenieść plik poza zamierzony katalog przechowywania.

Ocena ryzyka

Może to umożliwić nieautoryzowane umieszczenie lub nadpisanie plików z uprawnieniami procesu aplikacji, co może prowadzić do naruszenia integralności lub dalszej eksploatacji.

Rekomendacja

Zaktualizuj LubeLogger do wersji 1.6.8 lub nowszej, która naprawia ten problem.

Inne podatności w LubeLogger

CVE-2026-62279Wysokie
LubeLogger przed wersją 1.6.8 pozwala uwierzytelnionemu użytkownikowi przesłać kontrolowane identyfikatory rekordów do endpointu DuplicateRecordsToOtherVehicles, wskazując docelowe pojazdy, które może edytować. Endpoint autoryzuje pojazdy docelowe, ale pobiera rekordy źródłowe bez sprawdzania uprawnień do pojazdu źródłowego, co umożliwia kopiowanie rekordów należących do innego użytkownika do pojazdu kontrolowanego przez atakującego.

Oryginalny opis (angielski, źródło NVD)

LubeLogger is a self-hosted, open-source, web-based vehicle maintenance and fuel mileage tracker. Prior to 1.6.8, authenticated non-administrative users could reach HandleTranslationFileUpload and influence the name passed from Controllers/FilesController.cs to RenameFile in Helper/FileHelper.cs. RenameFile constructed newFilePath with string replacement and moved the uploaded file without verifying the resolved absolute path remained under the web root or data directory. A crafted upload name could therefore move an uploaded file outside the intended storage directory, enabling unauthorized file placement or overwrite with the privileges of the application process. This issue is fixed in version 1.6.8.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS