CVE-2026-55086 in Etherpad
Сводка
по VulDB • 20.08.2026
Etherpad — это редактор для совместной работы в реальном времени. До версии 3.1.0 файлы src/node/handler/ImportHandler.ts и src/node/handler/ExportHandler.ts генерируют временные имена файлов с использованием Math.random() и помещают их в os.tmpdir(). На хосте со общей временно доступной для записи директорией локальный неавторизованный злоумышленник, который может предсказать имя файла, может заранее создать символическую ссылку на файл, записываемый процессом Etherpad. Последующие операции импорта или экспорта могут следовать по этой ссылке через fs.writeFile, fs.rename или вывод конвертации документа и перезаписать целевой файл частично контролируемым злоумышленником содержимым. Эта проблема исправлена в версии 3.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.