CVE-2026-82906

NiskieCVSS 3.7

Opublikowano: 31/08/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

W sdcb chats do wersji 1.12.0 wykryto podatność w funkcji DownloadPublic w pliku FileController.cs (komponent Signed File Download Endpoint). Brakuje uwierzytelnienia, co umożliwia zdalny atak, ale złożoność ataku jest wysoka, a wykorzystanie trudne. Exploit został opublikowany.

Ocena ryzyka

Mimo wysokiej złożoności ataku, brak uwierzytelnienia może pozwolić nieautoryzowanym użytkownikom na pobieranie plików, co może prowadzić do wycieku danych.

Rekomendacja

Zaleca się aktualizację sdcb chats do wersji z poprawką oraz wdrożenie uwierzytelnienia dla endpointów pobierania plików.

Inne podatności w sdcb chats

CVE-2026-82905Średnie
Wykryto podatność w sdcb chats do wersji 1.12.0. Dotyczy funkcji McpController w pliku src/BE/web/Controllers/Users/Mcps/McpController.cs, w komponencie fetch-tools Endpoint. Manipulacja prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in sdcb chats up to 1.12.0. This impacts the function DownloadPublic of the file src/BE/web/Controllers/Chats/Files/FileController.cs of the component Signed File Download Endpoint. This manipulation causes missing authentication. Remote exploitation of the attack is possible. The attack's complexity is rated as high. The exploitability is said to be difficult. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS