CVE-2026-8736
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Oinone Pamirs do wersji 7.2.0 wykryto podatność w funkcji request.getParameter pliku LocalFileClient.java (komponent RestController). Manipulacja argumentem uniqueFileName prowadzi do path traversal. Atak może być przeprowadzony na fizycznym urządzeniu, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików poza zamierzonym katalogiem, potencjalnie odczytując lub nadpisując wrażliwe dane. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Ogranicz dostęp do komponentu RestController i wdróż walidację argumentu uniqueFileName. Monitoruj komunikaty producenta w oczekiwaniu na poprawkę.
Inne podatności w Oinone Pamirs
Zobacz wszystkie- CVE-2026-39054Wysokie
Oinone Pamirs w wersji 7.0.0 zawiera podatność na wstrzykiwanie poleceń w metodzie CommandHelper.executeCommands. Metoda ta uruchamia proces powłoki i zapisuje ciągi poleceń kontrolowane przez atakującego bez ich oczyszczania.
- CVE-2026-8735Średnie
W Oinone Pamirs do wersji 7.2.0 występuje podatność w funkcji JsonUtils.parseMap pliku PamirsParserConfig.java w komponencie appConfigQuery Interface. Manipulacja danymi prowadzi do deserializacji, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in Oinone Pamirs up to 7.2.0. This vulnerability affects the function request.getParameter of the file LocalFileClient.java of the component RestController. Performing a manipulation of the argument uniqueFileName results in path traversal. The attack may be carried out on the physical device. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS