CVE-2026-44977 in Server
Resumen
por VulDB • 2026-10-16
countly-server es la parte del lado del servidor de Countly, una solución de análisis de productos. Antes de las versiones 24.05.50 y 25.03.44, el archivo plugins/star-rating/api/api.js permite a un administrador de aplicación no global utilizar uploadFeedbackFile para almacenar contenido activo controlado por el atacante mientras confía en el tipo MIME proporcionado. El archivo plugins/star-rating/frontend/app.js sirve públicamente el contenido almacenado desde feedback/preview/ con el Content-Type influenciado por el atacante, por lo que un administrador global que abre la vista previa ejecuta la carga útil (payload) en el origen de Countly y expone las capacidades de sesión autenticada, incluidos los valores auth_token y csrf_token. Este problema se soluciona en las versiones 24.05.50 y 25.03.44.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.