CVE-2026-32847 in DeepCode
요약
\~에 의해 VulDB • 2026. 06. 02.
commit c991dc2를 포함한 DeepCode에는 new_ui/backend/main.py의 SPA catch-all 라우트에 경로 순회(Path Traversal) 취약점이 존재하며, 이를 통해 인증되지 않은 공격자가 GET /{full_path:path} 엔드포인트에 percent-encoded 경로 세그먼트를 제공하여 임의의 파일을 읽을 수 있습니다. 공격자는 슬래시를 %2F로, 점을 %2E%2E로 인코딩하여 Starlette의 경로 정규화(Path Normalization)를 우회할 수 있으며, 이로 인해 결합된 경로가 FRONTEND_DIST 외부로 순회하여 SSH 개인 키, TLS 인증서 및 애플리케이션 시크릿과 같은 민감한 파일이 단일 HTTP 요청으로 노출됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.