CVE-2026-56377
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 — wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność w ImageMagick przed wersją 7.1.2-24 umożliwia atakującym ominięcie polityk bezpieczeństwa i tworzenie lub obcinanie plików, które powinny być zablokowane. Luka wynika z nieprawidłowej weryfikacji polityk ścieżek, co pozwala na zapis plików poza dozwolonymi granicami.
Ocena ryzyka
Atakujący zdalni mogą wykorzystać tę podatność w usługach konwersji działających w trybie piaskownicy do zapisu dowolnych plików na serwerze, co może prowadzić do naruszenia integralności danych, eskalacji uprawnień lub dalszego ataku na system.
Rekomendacja
Należy niezwłocznie zaktualizować ImageMagick do wersji 7.1.2-24 lub nowszej. Dodatkowo warto przejrzeć i zaostrzyć konfigurację polityk bezpieczeństwa (policy.xml) w celu ograniczenia ryzyka.
Oryginalny opis (angielski, źródło NVD)
ImageMagick before 7.1.2-24 contains an incorrect policy check that allows attackers to create or truncate files disallowed by security policies. Remote attackers can bypass path policy restrictions in sandboxed conversion services to write arbitrary files outside intended boundaries.