CVE-2026-92803

ŚrednieCVSS 5.3

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

LibreTranslate do wersji 1.9.6 pomija dekorator access_check w trasie download_file, co pozwala na nieuwierzytelniony dostęp do przetłumaczonych plików. Atakujący mogą ominąć wymagania dotyczące klucza API i nadużywać list banów, aby pobierać pliki bez uwierzytelnienia na chronionych instancjach.

Ocena ryzyka

Nieuwierzytelnieni atakujący mogą pobierać przetłumaczone pliki, co może prowadzić do ujawnienia wrażliwych treści lub naruszenia kontroli dostępu.

Rekomendacja

Zaktualizuj LibreTranslate do wersji nowszej niż 1.9.6, która zawiera poprawkę. Dodatkowo ogranicz dostęp do trasy download_file i monitoruj jej użycie.

Inne podatności w LibreTranslate

CVE-2026-57942Średnie
LibreTranslate do wersji 1.9.7 zawiera podatność na fałszowanie adresów IP w funkcji get_remote_address(). Nieuwierzytelniony atakujący może wstrzyknąć dowolną wartość do nagłówka X-Forwarded-For, co pozwala na ominięcie ograniczeń IP i blokad.

Oryginalny opis (angielski, źródło NVD)

LibreTranslate through 1.9.6 omits the access_check decorator from the download_file route, allowing unauthenticated access to translated files. Attackers can bypass API key requirements and abuse ban lists to download files without authentication on protected instances.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS