CVE-2026-75337
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Interfejs zasobów statycznych /api/static/{deployKey}/ w Yu AI Code Mother v4.3 jest podatny na path traversal. Ścieżka kontrolowana przez użytkownika jest łączona z katalogiem głównym podglądu bez normalizacji, co pozwala anonimowym atakującym na odczyt plików poza katalogiem podglądu.
Ocena ryzyka
Anonimowy atakujący może odczytać dowolne pliki z systemu, w tym pliki konfiguracyjne, dane uwierzytelniające lub inne poufne informacje.
Rekomendacja
Należy znormalizować ścieżki wejściowe i upewnić się, że nie wychodzą poza dozwolony katalog, oraz dodać walidację wejścia dla parametru ścieżki.
Oryginalny opis (angielski, źródło NVD)
The static resource interface /api/static/{deployKey}/ of Yu AI Code Mother v4.3 is vulnerable to path traversal. The user-controlled path is concatenated to the preview root directory without any normalization, allowing anonymous attackers to read files outside the preview root.