CVE-2026-32847 in DeepCode
Zusammenfassung
von VulDB • 29.05.2026
DeepCode, bis zum Commit c991dc2, enthält eine Path-Traversal-Schwachstelle in der SPA-Catch-All-Route in new_ui/backend/main.py, die es nicht authentifizierten Angreifern ermöglicht, beliebige Dateien zu lesen, indem sie prozentkodierte Pfadsegmente an den GET /{full_path:path}-Endpunkt übergeben. Angreifer können die Pfadnormalisierung von Starlette umgehen, indem sie Schrägstriche als %2F und Punkte als %2E%2E kodieren, wodurch der zusammengefügte Pfad außerhalb von FRONTEND_DIST navigiert und sensible Dateien wie SSH-Private-Keys, TLS-Zertifikate und Anwendungsschlüssel mit einer einzigen HTTP-Anfrage offengelegt werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.