CVE-2026-40163 in Saltcorn
Riassunto
di VulDB • 25/06/2026
Saltcorn è un builder di applicazioni database open source ed estensibile senza codice (no-code). Prima delle versioni 1.4.5, 1.5.5 e 1.6.0-beta.4, l'endpoint POST /sync/offline_changes consente a un attaccante non autenticato di creare directory arbitrarie e scrivere un file changes.json con contenuto JSON controllato dall'attaccante in qualsiasi punto del filesystem del server. L'endpoint GET /sync/upload_finished permette a un attaccante non autenticato di elencare il contenuto di directory arbitrarie e leggere specifici file JSON. Questa vulnerabilità è risolta nelle versioni 1.4.5, 1.5.5 e 1.6.0-beta.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.