CVE-2026-11442
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
Podatność w Allegra polegająca na przechodzeniu do katalogów (directory traversal) w metodzie exportReport. Umożliwia zdalne ujawnienie poufnych informacji. Wymagane uwierzytelnienie.
Ocena ryzyka
Atakujący z kontem użytkownika może odczytać dowolne pliki na serwerze, w tym dane konfiguracyjne i poufne dokumenty.
Rekomendacja
Zaktualizuj Allegra do wersji zawierającej poprawkę lub zastosuj reguły walidacji ścieżek w metodzie exportReport.
Inne podatności w Allegra
Zobacz wszystkie- CVE-2026-11443Średnie
Allegra zawiera podatność na Cross-Site Scripting (XSS) w metodzie downloadAttachment, umożliwiającą ominięcie uwierzytelniania. Podatność wynika z braku walidacji danych wejściowych, co pozwala na wstrzyknięcie dowolnego skryptu. Do wykorzystania wymagana jest interakcja użytkownika (odwiedzenie złośliwej strony lub otwarcie pliku).
- CVE-2025-11466Średnie
Podatność Directory Traversal w klasie DatabaseBackupBL w Allegra umożliwia zdalnym atakującym ujawnienie poufnych informacji na dotkniętych instalacjach. Problem wynika z braku odpowiedniej walidacji ścieżki dostarczonej przez użytkownika przed użyciem jej w operacjach na plikach. Wymagane jest uwierzytelnienie, a atakujący może wykorzystać podatność do ujawnienia informacji w kontekście konta usługi.
Oryginalny opis (angielski, źródło NVD)
Allegra exportReport Directory Traversal Information Disclosure Vulnerability. This vulnerability allows remote attackers to disclose sensitive information on affected installations of Allegra. Authentication is required to exploit this vulnerability. The specific flaw exists within the exportReport method. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations. An attacker can leverage this vulnerability to disclose information in the context of the service account. Was ZDI-CAN-28208.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS