GHSA-f88m-g3jw-g9cj
WysokieStreszczenie
Wykryto i naprawiono kilka podatności w zależności libvips, z których dwie mają wysoki poziom dotkliwości w CVSSv4. Wersje sharp przed 0.35.0 przetwarzające niezaufane dane są podatne.
Ocena ryzyka
Organizacja może być narażona na ataki wykorzystujące te podatności, co może prowadzić do naruszenia bezpieczeństwa danych lub systemu.
Rekomendacja
Zaleca się aktualizację sharp do wersji 0.35.0 lub nowszej, która zawiera poprawki bezpieczeństwa.
Inne podatności w sharp
Zobacz wszystkie- CVE-2026-53634Średnie
Sharp, pakiet Laravel do zarządzania treścią, w wersjach od 9.0.0 do 9.22.3 nie egzekwuje kontroli dostępu w endpointach create i store funkcji Quick Creation Command. Uwierzytelniony użytkownik Sharp bez uprawnień do tworzenia encji może ominąć autoryzację i tworzyć nowe rekordy dla encji z skonfigurowanym handlerem Quick Creation Command.
- CVE-2026-44692Wysokie
Sharp, framework CMS dla Laravela, przed wersją 9.22.0 udostępnia ogólny endpoint do pobierania plików, który autoryzuje dostęp tylko do instancji encji, ale odczytuje docelowy dysk i ścieżkę z parametrów żądania. Uwierzytelniony użytkownik Sharp, który może wyświetlić jeden prawidłowy rekord, może go użyć jako kotwicy autoryzacji do pobrania niepowiązanych obiektów z dysków Laravel Storage.
Oryginalny opis (angielski, źródło NVD)
### Impact A number of vulnerabilities, two rated as "High" severity using CVSSv4, have been discovered and fixed in the upstream libvips dependency. Those processing untrusted input with versions of sharp prior to 0.35.0 are affected. ### Patches #### Using prebuilt binaries provided by sharp?