CVE-2026-79653

ŚrednieCVSS 6.0

Opublikowano: 27/08/2026(UTC)Zaktualizowano: 27/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Podatność w Eclipse SW360 w wersjach 19.0.0, 19.1.0, 19.2.0, 20.0.0, 20.1.0 pozwala atakującemu na manipulację nazwą pliku podczas przesyłania, co umożliwia dowolną ścieżkę traversal, gdy system używa przechowywania plików na dysku.

Ocena ryzyka

Atakujący może zapisywać pliki w dowolnych lokalizacjach na serwerze, co może prowadzić do nadpisania krytycznych plików lub uzyskania nieautoryzowanego dostępu.

Rekomendacja

Wyłącz opcję enable.attachment.store.to.file.system lub zaktualizuj SW360 do wersji z poprawką.

Oryginalny opis (angielski, źródło NVD)

In Eclipse SW360 versions 19.0.0, 19.1.0, 19.2.0, 20.0.0, 20.1.0, if the system is configured to use file system storage with config key enable.attachment.store.to.file.system, the attacker can manipulate the filename upon upload and can essentially cause arbitrary file path traversal. The immediate workaround is to disable enable.attachment.store.to.file.system or update to fixed versions.