Summary
Path traversal in Dromara lamp-cloud (CVE-2026-19757). Risk of unauthorized operations or information disclosure.
Original description
The description as published by the source.
A vulnerability was found in Dromara lamp-cloud up to 5.10.0. This vulnerability affects unknown code of the file FileAnyoneController.java of the component File-Upload Controller. Performing a manipulation of the argument bucket/bizType results in path traversal. The attack can be initiated remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Dromara lamp-cloudのバージョン5.10.0までのFile-Uploadコンポーネントの脆弱性。FileAnyoneController.java内の不明なコードが影響を受け、bucket/bizType引数の操作によりパストラバーサルが発生。遠隔で攻撃が可能で、エクスプロイトも公にされている。この問題についてはプロジェクトに報告済みだが、まだ対応はされていない。
Dromara lamp-cloudのFile-Uploadコントローラーでのパストラバーサル脆弱性。
FileAnyoneController.javaの不明なコードに存在する。
リモートで攻撃可能で、エクスプロイトが公開されているため、高いリスクがある。
この脆弱性に対するパッチはまだ公開されておらず、ソースコードの見直しが必要。
暫定的に、外部の入力に対するバリデーションを強化する。
bucket/bizType引数の予期しない操作があるかを監視する。
References
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web cna@vuldb.com
- web nvd.nist.gov
- web github.com
- web github.com