CVE-2026-75111
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Evidently UI nie waliduje poprawnie parametru filename w endpointcie materializacji zbiorów danych, co pozwala nieuwierzytelnionym atakującym na odczyt dowolnych plików poza katalogiem roboczym. Atakujący mogą użyć sekwencji traversal lub ścieżek bezwzględnych, aby uzyskać dostęp do plików systemowych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych plików systemowych, co może prowadzić do ujawnienia poufnych informacji i naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Evidently UI do wersji z poprawką oraz walidację parametru filename.
Oryginalny opis (angielski, źródło NVD)
Evidently UI fails to properly validate the filename parameter in the dataset materialization endpoint, allowing unauthenticated attackers to read arbitrary files outside the workspace directory. Attackers can supply traversal sequences or absolute paths in the filename field to access system files, which are then materialized into datasets and retrieved through the download endpoint.