CVE-2026-72567
KrytyczneCVSS 9.8Streszczenie
Podatność na nieprawidłową walidację ścieżek w AsyncFuncAI/deepwiki-open do commita 16f35a0 pozwala nieuwierzytelnionym zdalnym atakującym na zapis lub usunięcie dowolnych plików z uprawnieniami roota. Endpoint wiki-cache w api/api.py konstruuje ścieżki plików z kontrolowanych przez użytkownika pól owner, repo i repo_type bez sanityzacji, co umożliwia path traversal. Drugi nieuwierzytelniony endpoint tworzy katalogi, a połączone prymitywy pozwalają na dowolny zapis i usuwanie plików jako proces root.
Ocena ryzyka
Atakujący może nadpisać lub usunąć krytyczne pliki systemowe, co prowadzi do całkowitej kompromitacji systemu, utraty danych i naruszenia integralności.
Rekomendacja
Należy zaktualizować deepwiki-open do wersji z poprawką, która waliduje i sanityzuje ścieżki plików, oraz ograniczyć dostęp do endpointów tylko dla uwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
An improper path validation vulnerability in AsyncFuncAI/deepwiki-open through commit 16f35a0 allows unauthenticated remote attackers to write to or delete arbitrary files with root privileges. The api/api.py wiki-cache endpoint constructs file paths from user-controlled owner, repo, and repo_type fields without sanitization, enabling path traversal. A second unauthenticated endpoint creates directories, and combined these primitives allow arbitrary file write and delete as the root process user.