CVE-2024-5926

Path traversal w Stitionai Devika — odczyt plików i DoS

CVSS 9.1v3.0pub. 2024-06-30upd. 2025-07-10

Podatność typu path traversal w funkcji get-project-files aplikacji Stitionai Devika pozwala nieuwierzytelnionemu atakującemu na odczyt dowolnych plików z systemu plików oraz wywołanie stanu Denial of Service. Problem dotyczy wszystkich wersji aplikacji.

▸ Pokaż oryginał (EN)

A path traversal vulnerability in the get-project-files functionality of stitionai/devika allows attackers to read arbitrary files from the filesystem and cause a Denial of Service (DoS). This issue is present in all versions of the application. The vulnerability arises due to insufficient path sanitization for the 'project-name' parameter, enabling attackers to specify paths that traverse the filesystem. By setting 'project-name' to the root directory, an attacker can cause the application to attempt to read the entire filesystem, leading to a DoS condition.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej sanityzacji parametru 'project-name' przed jego użyciem do operacji na plikach. Atakujący może przekazać w tym parametrze ścieżkę zawierającą sekwencje przechodzenia po katalogach (path traversal), wskazującą na dowolne miejsce w systemie plików. Jeśli jako wartość parametru zostanie podany katalog główny (root), aplikacja podejmuje próbę odczytu całego systemu plików, co prowadzi do wyczerpania zasobów i stanu DoS.

Skutki

Atakujący może odczytać dowolne pliki z systemu plików serwera (np. pliki konfiguracyjne, dane uwierzytelniające), a także doprowadzić do niedostępności aplikacji poprzez wywołanie stanu DoS.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Producent powinien wdrożyć prawidłową sanityzację i walidację parametru 'project-name', aby uniemożliwić przechodzenie poza dozwolony katalog roboczy.