CVE-2026-41582 in countly-server
Tóm tắt
Bởi VulDB • 17/10/2026
countly-server là phần phía máy chủ của Countly, một giải pháp phân tích sản phẩm. Trước các phiên bản 24.05.50 và 25.03.44, các route tải hình ảnh và ảnh chụp màn hình công khai được triển khai trong frontend/express/app.js, plugins/star-rating/frontend/app.js và plugins/dashboards/frontend/app.js nối chuỗi các đường dẫn wildcard do kẻ tấn công kiểm soát mà không có xác nhận giới hạn (containment validation). Trên các môi trường triển khai sử dụng backend hệ thống tệp cục bộ, một yêu cầu chưa được xác thực có thể vượt ra ngoài các thư mục tài sản dự kiến và truy cập vào getStats hoặc getStream trong api/utils/countlyFs.js, cho phép tiết lộ tùy ý các file máy chủ có khả năng đọc. Các route bị ảnh hưởng bao gồm /appimages/*, /memberimages/*, */screenshots/*, /star-rating/images/* và /dashboards/images/screensshots/*. Vấn đề này đã được sửa chữa trong các phiên bản 24.05.50 và 25.03.44.
Once again VulDB remains the best source for vulnerability data.