CVE-2026-94489
ŚrednieCVSS 4.3Streszczenie
W OctoPrint 1.0.0 stwierdzono podatność w funkcji _validate w pliku src/octoprint/server/api/files.py (komponent File Download API). Manipulacja argumentem filename prowadzi do przejścia poza katalog (path traversal). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do plików poza zamierzonym katalogiem, co może ujawnić wrażliwe dane lub konfigurację systemu.
Rekomendacja
Zaleca się aktualizację OctoPrint do wersji z poprawką oraz walidację i sanityzację ścieżek plików po stronie serwera.
Inne podatności w OctoPrint
Zobacz wszystkie- CVE-2026-94490Średnie
W OctoPrint 1.0.0 odkryto podatność w funkcji executeSystemCommand w pliku src/octoprint/server/api/system.py (komponent Command API). Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-54134Wysokie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3 ma niezgodność w parsowaniu parametrów żądań między niestandardowym handlerem Tornado a Flask/Werkzeug, co pozwala atakującemu z uprawnieniem FILE_UPLOAD wstrzykiwać zastrzeżone wewnętrzne pola uploadu przez parametry zapytania lub różnice w parserze. Dotknięte są endpointy /api/files/{local|sdcard}, /api/languages, /plugin/backup/restore i /plugin/pluginmanager/upload_file.
- CVE-2026-35163Średnie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3, powiadomienia o stłumionych komendach używają renderowania PNotify dla wartości payload.command i payload.message kontrolowanych przez drukarkę w src/octoprint/static/js/app/viewmodels/terminal.js bez escapowania HTML. Atakujący, który przekona ofiarę do wydrukowania spreparowanego pliku, może wstrzyknąć HTML i JavaScript do powiadomienia, zakłócić drukowanie, odczytać informacje dostępne ofierze, w tym wrażliwe ustawienia, gdy są dozwolone, lub wykonać działania w sesji OctoPrint ofiary.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in OctoPrint 1.0.0. Affected by this vulnerability is the function _validate of the file src/octoprint/server/api/files.py of the component File Download API. Such manipulation of the argument filename leads to path traversal. The attack may be performed from remote. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.