CVE-2026-72569
KrytyczneCVSS 9.1Streszczenie
Podatność na path traversal w cube-root/directory-serve do wersji 1.3.7 pozwala nieuwierzytelnionemu zdalnemu atakującemu na usuwanie dowolnych plików poza zamierzonym katalogiem serwowanym, gdy aplikacja jest uruchomiona z opcją --delete. Middleware file-remove.js nie sanityzuje parametru req.query.file przed użyciem go do konstruowania ścieżek systemu plików, co umożliwia traversal katalogów przez sekwencje ../.
Ocena ryzyka
Atakujący może usuwać krytyczne pliki systemowe lub dane aplikacji, co prowadzi do utraty danych, przerwania działania usług i potencjalnej destabilizacji systemu.
Rekomendacja
Należy zaktualizować directory-serve do wersji z poprawką lub zastosować obejście, takie jak walidacja ścieżek i unikanie opcji --delete w środowiskach produkcyjnych bez dodatkowych zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability in cube-root/directory-serve through 1.3.7 allows an unauthenticated remote attacker to delete arbitrary files outside the intended served directory when the application is run with the --delete option. The lib/middleware/file-remove.js middleware does not sanitize the req.query.file parameter before using it to construct file system paths, enabling directory traversal via ../ sequences.