CVE-2026-123619 Recorrido de rutas absolutas en Lektor vía rutas con letra de unidad en la API de administración
Lektor hasta 3.3.14 y 3.4.0b15 contiene una vulnerabilidad de recorrido de rutas absolutas en la API de administración en Windows que permite a atacantes salir del directorio del proyecto mediante rutas con letra de unidad que cleanup_path no normaliza. El atacante puede usar una página web maliciosa con peticiones cruzadas o DNS rebinding contra el servidor local no autenticado para borrar directorios de forma recursiva vía deleterecord o escribir archivos controlados por el atacante vía newattachment.
CVSS 3.1
- CVSS 4.05.9 · media
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 40
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
lektor
hasta 3.3.14desde 3.4.0b1 hasta 3.4.0b15
Qué hacer
- Verificá si usás lektor y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.8 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadAlta
CVSS 4.0 · 5.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioActiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Lektor through 3.3.14 and 3.4.0b15 contains an absolute path traversal vulnerability in the admin API on Windows that allows attackers to escape the project directory by supplying drive-letter paths that cleanup_path does not normalise. Attackers can use a malicious web page with cross-site requests or DNS rebinding against the unauthenticated local server to recursively delete directories via deleterecord or write attacker-controlled files via newattachment.
Referencias (7)
- github.com/lektor/lektor/issues/1301
- github.com/lektor/lektor
- github.com/lektor/lektor/blob/v3.3.14/lektor/db.py#L1334-L1336
- github.com/lektor/lektor/blob/v3.3.14/lektor/utils.py#L83-L94
- github.com/lektor/lektor/pull/1302
- github.com/lektor/lektor/pull/1288
- www.vulncheck.com/advisories/lektor-through-3.3.14-and-3.4-0b15-path-traversal-via-admin-…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.