WebP Server Go 0.14.4'e kadar Windows'ta path.Clean() temizlemesini atlayan yüzde kodlu ters eğik çizgiler (%5C) içeren istekler gönderilmesiyle yapılandırılmış IMG_PATH dizini dışındaki dosyaların okunmasına olanak veren bir path traversal zafiyeti içeriyor (handler/router.go).
WebP Server Go (0.14.4'e kadar) Windows ortamlarında, kimlik doğrulaması olmayan saldırganların yapılandırılmış IMG_PATH dizini dışındaki dosyaları okumasına olanak veren bir path traversal zafiyeti içeriyor. Saldırganlar, path.Clean() sanitizasyonunu atlayan yüzde kodlu ters eğik çizgiler (%5C) içeren istekler göndererek bu zafiyeti tetikleyebilirler (handler/router.go). Go'nun yalnızca ileri eğik çizgi normalizasyonu ile Windows dosya sistemi API'lerinin ters eğik çizgi ve ileri eğik çizgiyi eşdeğer kabul etmesi arasındaki uyumsuzluk, sunucu sürecinin erişebildiği ana makine dosya sistemi üzerinde rastgele dosyalara erişmek için kullanılabilir.
CVE-2026-53779CVSS:4.0\/AV:N\/AC:L\/AT:N\/PR:N\/UI:N\/VC:H\/VI:N\/VA:N\/SC:N\/SI:N\/SA:N\/E:X\/CR:X\/IR:X\/AR:X\/MAV:X\/MAC:X\/MAT:X\/MPR:X\/MUI:X\/MVC:X\/MVI:X\/MVA:X\/MSC:X\/MSI:X\/MSA:X\/S:X\/AU:X\/R:X\/V:X\/RE:X\/U:XKopia is a cross-platform backup tool for Windows, macOS, and Linux with fast incremental backups, client-side end-to-end encryption, compression, and data deduplication. Prior to 0.23.0, Kopia's HTTP server started with --without-password accepts unauthenticated requests to /api/v1/repo/exists and forwards attacker-supplied SFTP storage configuration to blob.NewStorage, where externalSSH: true and sshArguments containing -oProxyCommand=<cmd> can cause exec.CommandContext("ss
CVE-2026-40952, Windows istemci ve sunucu için Secure Access yükleyicisinde sürüm 14.55 öncesi bir ayrıcalık yanlış yapılandırmasıdır İstemci veya sunucuya yerel erişimi olan saldırganlar, Secure Access varsayılan olmayan bir konuma kurulduğunda bunu kullanarak ayrıcalıkları Administrator seviyesine yükseltebilirler.
Vitest, Vite tarafından güçlendirilen bir test çerçevesidir. 3.2.5 ve 4.1.0'dan önce, Windows'ta Vitest UI/API sunucusu /__vitest_attachment__ için isFileServingAllowed'ı yanlış kullandı, \\?\\..\\ yol geçişine izin vererek projenin dışındaki dosyaların okunmasına olanak tanıdı; saveTestFile ve rerun gibi açığa çıkan API yazma ve yeniden çalıştırma özellikleri ayrıca keyfi betik yürütmeye izin verebilirdi. Bu sorun 3.2.5 ve 4.1.0 sürümlerinde giderilmiştir.