CVE-2026-75418

WysokieCVSS 7.5

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 28/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 34 - wyżej niż 34% wszystkich znanych CVE

Streszczenie

Podatność na przechodzenie po ścieżkach istnieje we wbudowanym serwerze WWW do podglądu/programowania w Lektor <3.3.14 na systemie Windows. Atakujący z dostępem sieciowym do serwera może wysłać spreparowane żądanie HTTP zawierające sekwencje przechodzenia po ścieżkach, aby odczytać dowolne pliki dostępne dla procesu, ujawniając wrażliwe informacje, takie jak pliki systemowe i pliki konfiguracyjne zawierające poświadczenia.

Ocena ryzyka

Ryzyko obejmuje ujawnienie wrażliwych informacji, w tym poświadczeń, co może prowadzić do dalszych ataków na system.

Rekomendacja

Zaleca się aktualizację Lektor do wersji 3.3.14 lub nowszej oraz ograniczenie dostępu sieciowego do serwera deweloperskiego.

Inne podatności w Lektor

CVE-2026-104059Wysokie
Lektor 3.3.14 i 3.4.0b15 zawiera podatność CSRF w blueprint API administracyjnego, która pozwala nieuwierzytelnionym atakującym na wykonywanie operacji zmieniających stan, takich jak zapis plików, usuwanie stron, czyszczenie wyników builda i publikacja, poprzez wysyłanie żądań z złośliwych stron internetowych.

Oryginalny opis (angielski, źródło NVD)

A path traversal vulnerability exists in the built-in preview/development web server of Lektor <3.3.14 on Windows. An attacker with network access to the server can send a crafted HTTP request containing path traversal sequences to read arbitrary files accessible to the process, disclosing sensitive information such as system files and deployment configuration files containing credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS