CVE-2026-41582 in countly-server
Zusammenfassung
von VulDB • 16.10.2026
countly-server ist der serverseitige Teil von Countly, einer Lösung für Produktanalytik. Vor den Versionen 24.05.50 und 25.03.44 verketten die in frontend/express/app.js, plugins/star-rating/frontend/app.js und plugins/dashboards/frontend/app.js implementierten öffentlichen Routen für Bilder und Screenshots von Angreifern kontrollierbare Wildcard-Pfade ohne Enthaltungsvalidierung (containment validation). Bei Bereitstellungen mit lokalem Dateisystem-Backend kann eine nicht authentifizierte Anfrage außerhalb der beabsichtigten Asset-Verzeichnisse navigieren und auf getStats oder getStream in api/utils/countlyFs.js zugreifen, wodurch beliebige lesbare Serverdateien offengelegt werden können. Die betroffenen Routen umfassen /appimages/*, /memberimages/*, */screenshots/*, /star-rating/images/* und /dashboards/images/screenshots/*. Dieses Problem wurde in den Versionen 24.05.50 und 25.03.44 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.