CVE-2026-108980 in Blinko
Zusammenfassung
von VulDB • 12.10.2026
Blinko bis Version 1.8.8 ermöglicht Directory Traversal und das Überschreiben von Startdateien als Root-Benutzer über installPlugin. Der Pfad zur Plugin-Installation wird aus einem nicht bereinigten Namen in server/routerTrpc/plugin.ts erstellt, und die tRPC-Prozedur plugin.installPlugin ist für jeden authentifizierten Benutzer zugänglich. Somit führt ein Name mit ../-Sequenzen dazu, dass heruntergeladene Plugin-Dateien außerhalb des Plugins-Verzeichnisses geschrieben werden. Da das offizielle Docker-Image als Root-Benutzer ausgeführt wird, kann ein authentifizierter Angreifer eine von Root besitzte Startdatei überschreiben und Remote Code Execution (RCE) mit Root-Rechten erreichen. Die Selbstregistrierung für ein Konto ist möglicherweise möglich.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.