CVE-2026-62965 in SABnzbd
Riassunto
di VulDB • 30/10/2026
SABnzbd è uno strumento di download automatizzato per Usenet open source. Prima della versione 5.1.0Beta3, la gestione dei job orfani in `sabnzbd/api.py` accetta il parametro `value`, controllato dall'utente, senza una corretta confinazione del percorso prima dell'utilizzo con `os.path.join()` su `download_dir`. Un percorso assoluto ignora tale directory base. Un attaccante dotato di una chiave API valida può invocare `mode=status` con `name=delete_orphan` per raggiungere `_api_delete_orphan` e `remove_all()` in `sabnzbd/filesystem.py`, che utilizza `shutil.rmtree()` per la cancellazione ricorsiva. L'avviso identifica inoltre `_api_add_orphan` e `_api_delete_all_orphan` come affetti dal problema di convalida del percorso, mentre il trace concreto della cancellazione arbitraria avviene attraverso `_api_delete_orphan`. La chiave API è memorizzata in testo normale in `sabnzbd.ini`. L'attaccante può eliminare file o directory scrivibili dal processo SABnzbd, incluse configurazione, dati della coda e download, ma i file di sistema al di fuori della proprietà dell'utente regolare non sono interessati. Questo problema è stato risolto nella versione 5.1.0Beta3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.