CVE-2026-7059

ŚrednieCVSS 5.3

Opublikowano: 26/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Wykryto podatność w projekcie 666ghj MiroFish w wersji do 0.1.2. Funkcja get_simulation_posts w pliku backend/app/api/simulation.py (komponent Query Parameter Handler) umożliwia path traversal poprzez manipulację argumentem Platform. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.

Ocena ryzyka

Zdalny atakujący może wykorzystać path traversal do dostępu do plików poza zamierzonym katalogiem, co może prowadzić do wycieku danych lub dalszej kompromitacji systemu. Ryzyko dotyczy wdrożeń MiroFish w wersji 0.1.2 i starszych.

Rekomendacja

Zaktualizuj projekt do najnowszej wersji, jeśli jest dostępna, lub wdroż walidację argumentu Platform i ograniczenia dostępu do systemu plików. Monitoruj ruch do API pod kątem prób path traversal.

Inne podatności w MiroFish

CVE-2026-7041Niskie
Wykryto podatność w 666ghj MiroFish do wersji 0.1.2. Nieznana funkcja w pliku /console komponentu Werkzeug Debugger PIN Handler, przy manipulacji argumentem SECRET, prowadzi do ujawnienia informacji. Atak możliwy zdalnie, o wysokiej złożoności, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in 666ghj MiroFish up to 0.1.2. This affects the function get_simulation_posts of the file backend/app/api/simulation.py of the component Query Parameter Handler. Performing a manipulation of the argument Platform results in path traversal. The attack can be initiated remotely. The exploit has been made public and could be used.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS