CVE-2026-7680

ŚrednieCVSS 4.3

Opublikowano: 03/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 03/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

Wykryto podatność na przechodzenie do innych katalogów (path traversal) w COCO Annotator do wersji 0.11.1. Problem dotyczy nieznanej funkcji w pliku backend/webserver/api/datasets.py w komponencie Data Endpoint. Manipulacja argumentem folder umożliwia zdalny atak.

Ocena ryzyka

Atakujący może zdalnie uzyskać dostęp do plików poza dozwolonym katalogiem, co może prowadzić do ujawnienia poufnych danych lub naruszenia integralności systemu.

Rekomendacja

Zaktualizuj COCO Annotator do najnowszej dostępnej wersji, jeśli jest dostępna. Jeśli nie, ogranicz dostęp do aplikacji i monitoruj logi pod kątem podejrzanych żądań.

Inne podatności w COCO Annotator

CVE-2026-7681Średnie
W projekcie jsbroks COCO Annotator do wersji 0.11.1 wykryto podatność w komponencie Dataset API (plik backend/webserver/api/datasets.py). Manipulacja argumentem DatasetId prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony, a dostawca nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in jsbroks COCO Annotator up to 0.11.1. Affected is an unknown function of the file backend/webserver/api/datasets.py of the component Data Endpoint. Executing a manipulation of the argument folder can lead to path traversal. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS