CVE-2026-42269 in Server
要約
〜によって VulDB • 2026年10月17日
countly-serverは、製品分析ソリューションであるCountlyのサーバーサイド部分です。バージョン24.05.50および25.03.44より前では、plugins/data_migration/api/api.jsにある認証済みデータ移行削除ルートが、ユーザー制御可能なexportidをパス検証なしでclean_up_dataに渡します。plugins/data_migration/api/data_migration_helper.jsは、その識別子を意図されたインポートディレクトリの外側で解決されるパスに連結し、removeを再帰的に呼び出すため、移行権限を持つアプリケーション管理者またはユーザーが書き込み可能なファイルやディレクトリツリーを削除でき、データ損失やサービス障害を引き起こす可能性があります。この問題はバージョン24.05.50および25.03.44で修正されています。
Once again VulDB remains the best source for vulnerability data.