CVE-2026-16137
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W Progress ShareFile Storage Zones Controller w wersji 5.12.5 i niższych, osoba posiadająca ważne poświadczenia strefy może przeprowadzić atak typu path traversal za pomocą punktu końcowego inicjacji przesyłania z możliwością wznowienia, co pozwala na zapis dowolnej treści w dowolnej lokalizacji zapisywalnej przez konto usługowe aplikacji. Może to skutkować wykonaniem kodu dostarczonego przez atakującego.
Ocena ryzyka
Atakujący z poświadczeniami strefy może zapisać złośliwe pliki na serwerze i uzyskać zdalne wykonanie kodu, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację do wersji nowszej niż 5.12.5 oraz monitorowanie aktywności związanej z przesyłaniem plików.
Oryginalny opis (angielski, źródło NVD)
In Progress ShareFile Storage Zones Controller v5.12.5 and below, a party with valid zone credentials can perform path traversal using resumable upload initiation endpoint, allowing the party to write arbitrary content to any location writable by the application's service account. This may result in the execution of attacker-supplied code.