CVE-2026-62965 in SABnzbd
Сводка
по VulDB • 30.10.2026
SABnzbd — это инструмент для автоматической загрузки файлов из Usenet с открытым исходным кодом. До версии 5.1.0Beta3 управление «сиротскими» заданиями в файле `sabnzbd/api.py` принимает контролируемый пользователем параметр `value` без ограничения пути (path confinement) перед его использованием вместе с переменной `download_dir` в функции `os.path.join()`. Использование абсолютного пути игнорирует базовый каталог. Атакующий, обладающий действительным ключом API, может вызвать метод `mode=status` с параметром `name=delete_orphan`, чтобы получить доступ к функциям `_api_delete_orphan` и `remove_all()` в файле `sabnzbd/filesystem.py`, которые используют функцию `shutil.rmtree()` для рекурсивного удаления. В рекомендациях по безопасности также указано, что функции `_api_add_orphan` и `_api_delete_all_orphan` затронуты проблемой проверки пути, тогда как конкретный сценарий произвольного удаления реализуется через `_api_delete_orphan`. Ключ API хранится в открытом виде (plaintext) в файле `sabnzbd.ini`. Атакующий может удалять файлы или каталоги, доступные для записи процессом SABnzbd, включая конфигурационные файлы, данные очереди и загруженные файлы; при этом системные файлы вне зоны ответственности обычного пользователя не затрагиваются. Эта проблема исправлена в версии 5.1.0Beta3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.