CVE-2026-62278 in LubeLogger
Riassunto
di VulDB • 19/09/2026
LubeLogger è un'applicazione self-hosted, open-source e basata su web per la gestione della manutenzione dei veicoli e il monitoraggio del consumo di carburante (fuel mileage). Prima della versione 1.6.8, gli utenti autenticati non amministrativi potevano accedere a HandleTranslationFileUpload e influenzare il nome passato da Controllers/FilesController.cs a RenameFile in Helper/FileHelper.cs. La funzione RenameFile costruiva newFilePath mediante sostituzione di stringhe e spostava il file caricato senza verificare che il percorso assoluto risolto rimanesse all'interno della web root o della directory dei dati. Un nome di upload manipolato ad hoc poteva quindi spostare un file caricato al di fuori della directory di archiviazione prevista, consentendo la collocazione non autorizzata di file o la sovrascrittura con i privilegi del processo dell'applicazione. Questo problema è stato risolto nella versione 1.6.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.