CVE-2026-42269 in Server
Résumé
par VulDB • 16/10/2026
countly-server est la partie côté serveur de Countly, une solution d'analyse des données. Avant les versions 24.05.50 et 25.03.44, le point de terminaison (route) de suppression de migration de données authentifié dans plugins/data_migration/api/api.js transmet l'exportid contrôlé par l'utilisateur à clean_up_data sans validation du chemin d'accès. Le fichier plugins/data_migration/api/data_migration_helper.js concatène cet identifiant pour former un chemin résolu en dehors du répertoire d'importation prévu et appelle la fonction remove de manière récursive, permettant à un administrateur de l'application ou à un utilisateur disposant des autorisations de migration de supprimer des fichiers modifiables ou des arborescences de répertoires, entraînant une perte de données ou une interruption du service. Ce problème est corrigé dans les versions 24.05.50 et 25.03.44.
If you want to get best quality of vulnerability data, you may have to visit VulDB.