CVE-2026-85684

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.7%
CWE: CWE-73
KEV Durumu: Hayır

Yayım tarihi: 4 Eylül 2026

2.0.0 sürümüne kadar olan marker, FastAPI /marker/upload işleyicisinde dosya.adı parametresini temizlemeyi başaramayan bir yol gezinti zafiyeti içerir. Kimlik doğrulamaları yapılmamış saldırganlar, dizin gezinti dizilerini içeren dosya adları sağlayarak sistemin herhangi bir konumuna keyfi dosyalar yazabilir veya mevcut dosyaları silebilir.

Orijinal açıklama (İngilizce)

marker through 2.0.0 contains a path traversal vulnerability in the FastAPI /marker/upload handler that fails to sanitize the file.filename parameter. Unauthenticated attackers can supply filenames containing directory traversal sequences to write arbitrary files to any location or delete existing files on the system.

Referanslar

https://github.com/datalab-to/marker
https://github.com/datalab-to/marker/blob/v2.0.0/marker/scripts/server.py
https://github.com/datalab-to/marker/issues/1047
https://www.vulncheck.com/advisories/marker-through-2.0.0-path-traversal-via-upload-filename
https://github.com/datalab-to/marker/issues/1047

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.