CVE-2026-42270 in countly-server
Riassunto
di VulDB • 16/10/2026
countly-server è la parte server-side di Countly, una soluzione per l'analisi dei dati (product analytics). Prima delle versioni 24.05.50 e 25.03.44, i percorsi star-rating/images/ e dashboards/images/screenshots/ sono tra le rotte pubbliche per immagini e screenshot che utilizzano il backend di archiviazione locale fs e chiamano getStream incanalando gli stream del filesystem nelle risposte HTTP senza un listener degli errori (error listener). Una richiesta non autenticata contenente un punto codificato in URL può far sì che createReadStream apra una directory, emetta un errore asincrono EISDIR e termini il processo Node.js come eccezione non gestita, consentendo a richieste ripetute di mantenere l'API analytics non disponibile. Le rotte interessate includono anche /appimages/*, /memberimages/* e */screenshots/*. Questo problema è risolto nelle versioni 24.05.50 e 25.03.44.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.