MEDIUM🇵🇱 Wersja polska

CVE-2026-53906

CVSS 5.1v4.0pub. 2026-07-01upd. 2026-07-06

MCO is vulnerable to Path Disclosure and Path Traversal in file handling functionality related to data export and upload. Improper validation of the filename parameter allows writing files to arbitrary locations as well as indirect disclosure of absolute server paths through error messages. Because vendor contact attempts were unsuccessful, the vulnerability has only been confirmed in version 25.3.3.1 but may also affect other versions.

CVSS Vector
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

  • Mycomplianceoffice

    APP
    Mycomplianceoffice
    25.3.3.1
🔵
CHECK WITH VENDOR
No clear patch data available. Check vendor references.
Tags
Path Traversal
CWE
References

Related vulnerabilities

CVE-2026-53902HIGH7.1PL ✓same product

MyComplianceOffice — nieautoryzowana eskalacja uprawnień poprzez manipulację członkostwem w grupach

CVE-2026-53903MEDIUM5.3same product

MCO jest podatny na lukę Insecure Direct Object Reference (IDOR) w endpoincie /customer/servlet/mco/webapi/tra...

CVE-2026-53905MEDIUM5.3same product

MCO nie egzekwuje prawidłowo kontroli autoryzacji w endpoincie /customer/servlet/mco/webapi/admin-view-hierarc...

CVE-2026-53907MEDIUM4.8same product

MCO jest podatne na Stored XSS poprzez funkcjonalność przesyłania logo aplikacji. Atakujący, który ma możliwoś...

CVE-2026-53908MEDIUM6.9same product

MCO jest podatny na User Enumeration poprzez funkcjonalności związane z uwierzytelnianiem. Aplikacja zwraca ro...