Risk Letters

Udnyttet sårbarhed

CVE-2026-42608

TLP:CLEAR

getgrav grav Utilstrækkelig begrænsning af en sti til en begrænset mappe ('Path Traversal')

Grav er en filbaseret webplatform. Før version 2.0.0-beta.2 findes der en Path Traversal-sårbarhed i FormFlash-kernkomponenten. Ved at manipulere session_id (sendt som __form-flash-id i POST-forespørgsler) kan en uauthenticeret angriber traverse filsystemet for at oprette vilkårlige mapper og skrive en index.yaml-fil indeholdende angriber-kontrollerede data. Denne sårbarhed kan føre til uautoriseret ændring af programopførsel, potentielle problemer med dataintegritet og tjenestestop i produktionsmiljøer. Sårbarheden er rettet i version 2.0.0-beta.2.

Fakta

  • Leverandør: getgrav
  • Produkt: grav
  • EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,6 %
  • Første kendte udnyttelse: 25. september 2026
  • Første gang set af Risk Letters: 25. september 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD