CVE-2026-61645

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.4%
CWE: CWE-434
KEV Durumu: Hayır

Yayım tarihi: 29 Ekim 2026

Docat, sürümlü statik belgeleri barındırmak için kullanılan bir araçtır. Etkilenen uygulamada, `Upload API`'de dosya yolu veya türü doğrulanmadığı için keyfi bir dosya yükleme zafiyeti ortaya çıkar. Saldırgan, duyarlı yapılandırma dosyalarını geçersiz kılabilir veya Docat web sunucusuna kötü amaçlı dosyalar yerleştirebilir. Dağıtım bağlamına bağlı olarak, yüklenen içerik, uzaktan kod çalıştırma veya çerez çalmak veya kullanıcıları kötü amaçlı web sitelerine yönlendirmek amacıyla diseñlanan cross-site scripting'i etkinleştirebilir. Sürüm 1.6.0, dosya adı tabanlı yol gezintisini hafifletir; kısıtlamasız dosya türlerinin veya dağıtım bağımlı kötü amaçlı içerik etkilerinin düzeltmesi, doğrulanmış yama tarafından kurulmamıştır.

Orijinal açıklama (İngilizce)

Docat is a tool for hosting versioned static documentation. In the affected implementation, an arbitrary file upload vulnerability in the `Upload API` arises because the API does not validate the `uploaded file path or type`. An attacker can overwrite sensitive configuration files or place malicious files on the Docat web server. Depending on deployment context, uploaded content can enable remote code execution or cross-site scripting intended to steal cookies or redirect users to malicious websites. Version 1.6.0 mitigates filename-based path traversal; remediation of unrestricted file types or deployment-dependent malicious-content effects is not established by the verified patch.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.