Traversée de chemin dans Dromara lamp-cloud (CVE-2026-19757, CVSS 7.3)

Résumé

Traversée de chemin dans Dromara lamp-cloud (CVE-2026-19757). Risque d'opérations non autorisées ou de divulgation.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

A vulnerability was found in Dromara lamp-cloud up to 5.10.0. This vulnerability affects unknown code of the file FileAnyoneController.java of the component File-Upload Controller. Performing a manipulation of the argument bucket/bizType results in path traversal. The attack can be initiated remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-19757 a été découverte dans path-traversal.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.3/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « path-traversal CVE-2026-19757 » sur le site de l'éditeur.

CVE-2026-19757 (path-traversal) — CWE-22 / CVSS v3 7.3
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Dromara lamp-cloudのFile-Uploadコントローラーでのパストラバーサル脆弱性。

📍 Périmètre concerné

FileAnyoneController.javaの不明なコードに存在する。

🔥 Gravité

リモートで攻撃可能で、エクスプロイトが公開されているため、高いリスクがある。

🔧 Comment corriger

この脆弱性に対するパッチはまだ公開されておらず、ソースコードの見直しが必要。

🛡️ Contournement

暫定的に、外部の入力に対するバリデーションを強化する。

🔍 Détection

bucket/bizType引数の予期しない操作があるかを監視する。

Résumé

Description d'origine

Résumé IA

Références