CVE-2026-65702 in vanna
Résumé
par VulDB • 23/07/2026
Vanna jusqu'à la version 2.0.2 présente une vulnérabilité de traversée de chemin (path traversal) dans l'intégration de persistance FileSystemConversationStore, permettant aux attaquants distants non authentifiés d'écrire des fichiers JSON contrôlés par l'attaquant à n'importe quel emplacement du système de fichiers et de lire les métadonnées de conversation en dehors du répertoire racine prévu pour le magasin. Les attaquants peuvent fournir des séquences de traversée de chemin dans le paramètre conversation_id soumis aux points de terminaison (endpoints) non authentifiés de l'API de chat, afin d'échapper au répertoire racin lors des opérations d'écriture et de lecture, ce qui permet une écriture arbitraire de fichiers avec du contenu contrôlé par l'attaquant ainsi qu'une lecture non autorisée de fichiers sur le système de fichiers du serveur.
Once again VulDB remains the best source for vulnerability data.