CVE-2026-2701

RCE w Progress Sharefile Storage Zones Controller — upload złośliwego pliku

CVSS 9.1v3.1pub. 2026-04-02upd. 2026-04-21

Uwierzytelniony użytkownik może przesłać złośliwy plik na serwer i wykonać go zdalnie (RCE). Podatność jest krytyczna, ponieważ pozwala na pełne przejęcie kontroli nad serwerem bez interakcji ze strony innych użytkowników.

▸ Pokaż oryginał (EN)

Authenticated user can upload a malicious file to the server and execute it, which leads to remote code execution.

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniej walidacji przesyłanych plików (CWE-434 — unrestricted file upload) oraz możliwości wstrzyknięcia poleceń systemowych (CWE-78) lub wykonania złośliwego kodu (CWE-94). Uwierzytelniony atakujący przesyła specjalnie spreparowany plik na serwer, a następnie w jakiś sposób doprowadza do jego wykonania przez aplikację, co skutkuje uruchomieniem dowolnego kodu w kontekście serwera.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem, w tym odczytywać i modyfikować dane, instalować dodatkowe oprogramowanie (np. backdoor) oraz potencjalnie przemieszczać się po sieci wewnętrznej (lateral movement).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://docs.sharefile.com/en-us/storage-zones-controller/5-0/security-vulnerability-feb26. Dodatkowo zaleca się ograniczenie dostępu do interfejsu przesyłania plików wyłącznie do zaufanych użytkowników oraz monitorowanie aktywności na serwerze pod kątem podejrzanych operacji.

Kogo dotyczy

Progress Sharefile Storage Zones Controller — wersje wskazane w referencjach producenta (https://docs.sharefile.com/en-us/storage-zones-controller/5-0/security-vulnerability-feb26)