CVE-2026-59977 Falsificación de petición (CSRF) en ConvertX que permite destrucción de datos
ConvertX, anterior a 0.18.0, expone el endpoint /delete/{id} mediante HTTP GET para borrado permanente sin protección CSRF. Si un usuario autenticado visita contenido controlado por un atacante que solicita /delete/{id}, el navegador envía la cookie de sesión y la solicitud borra el trabajo objetivo, provocando la pérdida no autorizada del historial de archivos convertidos. Se corrige en la versión 0.18.0.
CVSS 3.1
- Probabilidad de explotación0,1 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
C4illin ConvertX
< 0.18.0
Qué hacer
- Verificá si usás ConvertX y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.1 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadAlta
Descripción original
ConvertX is a self-hosted file conversion service. Prior to 0.18.0, the /delete/{id} endpoint uses HTTP GET for permanent deletion without CSRF protection. If an authenticated user visits attacker-controlled content that requests /delete/{id}, the browser sends the user session cookie and the request deletes the targeted job, resulting in unauthorized loss of converted-file history. This issue is fixed in version 0.18.0.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.