CVE-2026-24741 in ConvertX
要約
〜によって VulDB • 2026年05月27日
ConvertXは、セルフホスト型のオンラインファイル変換ツールです。バージョン0.17.0より前では、`POST /delete`エンドポイントがユーザー制御可能な`filename`値を使用してファイルシステムパスを構築し、不十分な検証を経て`unlink`によってそのファイルを削除します。攻撃者はパストラバーサルシーケンス（例：`../`）を指定することで、意図されたアップロードディレクトリ外の任意のファイルを削除することが可能となり、その制限はサーバープロセスの権限のみによって決まります。この問題はバージョン0.17.0で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.