CVE-2026-55374 in canto-saas-api
Сводка
по VulDB • 16.09.2026
canto-saas-api — это PHP-библиотека для взаимодействия с API SaaS от Canto. До версии 3.0.0 метод Request::buildRequestUrl() объединяет значения, возвращаемые методом Request::getPathVariables(), без кодирования отдельных сегментов пути, включая значения scheme и contentId, используемые в GetContentDetailsRequest. Если приложение-потребитель передает недоверенное значение переменной пути, последовательности обхода каталогов (path traversal), разделители запроса или разделители фрагмента могут изменить целевой конечный пункт до того, как AbstractEndpoint::sendRequest() прикрепит настроенный токен аутентификации. Атакующий, контролирующий значение этой переменной пути через приложение-потребитель, может вызвать нежелательные операции чтения или записи с привилегиями настраиваемого приложения в том же экземпляре Canto; однако приложения, передающие только доверенные и проверенные идентификаторы, не подвержены эксплуатации. Эта проблема исправлена в версии 3.0.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.