CVE-2026-94490
ŚrednieCVSS 4.7Streszczenie
W OctoPrint 1.0.0 odkryto podatność w funkcji executeSystemCommand w pliku src/octoprint/server/api/system.py (komponent Command API). Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Ryzyko dla organizacji to możliwość zdalnego wykonania dowolnych poleceń na serwerze, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie OctoPrint do wersji z poprawką lub zastosowanie tymczasowych zabezpieczeń, takich jak ograniczenie dostępu do API.
Inne podatności w OctoPrint
Zobacz wszystkie- CVE-2026-94489Średnie
W OctoPrint 1.0.0 stwierdzono podatność w funkcji _validate w pliku src/octoprint/server/api/files.py (komponent File Download API). Manipulacja argumentem filename prowadzi do przejścia poza katalog (path traversal). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-54134Wysokie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3 ma niezgodność w parsowaniu parametrów żądań między niestandardowym handlerem Tornado a Flask/Werkzeug, co pozwala atakującemu z uprawnieniem FILE_UPLOAD wstrzykiwać zastrzeżone wewnętrzne pola uploadu przez parametry zapytania lub różnice w parserze. Dotknięte są endpointy /api/files/{local|sdcard}, /api/languages, /plugin/backup/restore i /plugin/pluginmanager/upload_file.
- CVE-2026-35163Średnie
OctoPrint przed wersjami 1.11.8 i 2.0.0rc3, powiadomienia o stłumionych komendach używają renderowania PNotify dla wartości payload.command i payload.message kontrolowanych przez drukarkę w src/octoprint/static/js/app/viewmodels/terminal.js bez escapowania HTML. Atakujący, który przekona ofiarę do wydrukowania spreparowanego pliku, może wstrzyknąć HTML i JavaScript do powiadomienia, zakłócić drukowanie, odczytać informacje dostępne ofierze, w tym wrażliwe ustawienia, gdy są dozwolone, lub wykonać działania w sesji OctoPrint ofiary.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in OctoPrint 1.0.0. Affected by this issue is the function executeSystemCommand of the file src/octoprint/server/api/system.py of the component Command API. Performing a manipulation of the argument command results in os command injection. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.