CVE-2026-76158
KrytyczneCVSS 9.3Streszczenie
Podatność polegająca na zewnętrznej kontroli nazwy pliku lub ścieżki w punkcie API do przesyłania plików w Datiphy Data Management Center (wersje od 8.3.0 do 8.5.1) pozwala zdalnemu atakującemu zapisywać pliki w dowolnych lokalizacjach poza zamierzonym katalogiem przesyłania, używając względnych lub bezwzględnych sekwencji ścieżek.
Ocena ryzyka
Atakujący może nadpisać krytyczne pliki systemowe lub umieścić złośliwe pliki w newralgicznych lokalizacjach, co może prowadzić do przejęcia kontroli nad systemem lub naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Datiphy Data Management Center do wersji nowszej niż 8.5.1 oraz ograniczenie dostępu do API przesyłania plików tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
External Control of File Name or Path in the upload API endpoint of Datiphy Data Management Center from v8.3.0 through v8.5.1 allows a remote attacker to write files to arbitrary locations outside the intended upload directory via relative or absolute path sequences.