Plateforme
python
Composant
fireshare
Corrigé dans
1.5.4
La vulnérabilité CVE-2026-34745 est une faille de traversal de chemin critique affectant Fireshare, un logiciel de partage de médias et de liens auto-hébergé. Cette faille permet à un attaquant non authentifié d'écrire des fichiers arbitraires sur le système de fichiers du serveur. Elle concerne les versions de Fireshare antérieures à la version 1.5.3 et a été corrigée dans cette dernière version.
L'impact de cette vulnérabilité est significatif. Un attaquant peut exploiter le paramètre checkSum de l'endpoint /api/uploadChunked/public non authentifié pour écrire des fichiers malveillants n'importe où sur le système de fichiers du serveur. Cela pourrait permettre de compromettre l'intégrité du système, de voler des données sensibles, d'exécuter du code arbitraire ou de prendre le contrôle total du serveur. La capacité d'écriture arbitraire sur le système de fichiers représente un risque majeur pour la confidentialité, l'intégrité et la disponibilité des données hébergées par Fireshare. Cette vulnérabilité rappelle les risques associés à une gestion inadéquate des contrôles d'accès et de validation des entrées.
La vulnérabilité CVE-2026-34745 a été rendue publique le 2 avril 2026. Il n'y a pas d'indication d'une exploitation active à ce jour, mais la sévérité critique de la vulnérabilité et la facilité d'exploitation potentielle justifient une attention particulière. Aucun PoC public n'a été identifié à ce jour, mais la description de la vulnérabilité suggère qu'un tel PoC pourrait être développé rapidement. Il est conseillé de surveiller les sources d'informations sur les menaces et les forums de sécurité pour détecter toute activité suspecte.
Organizations running self-hosted Fireshare instances, particularly those using older versions (≤ 1.5.3), are at significant risk. Shared hosting environments where Fireshare is installed pose a heightened risk due to the potential for cross-tenant exploitation. Users who have not applied security patches or are unaware of this vulnerability are also at risk.
• linux / server: Monitor system logs (journalctl) for suspicious file creation events in writable directories. Look for patterns related to the /api/uploadChunked/public endpoint and unusual filenames.
journalctl -f | grep '/api/uploadChunked/public' | grep -i 'checkSum'• generic web: Use curl to test the /api/uploadChunked/public endpoint with crafted checkSum parameters designed to write to arbitrary paths.
curl -X POST -d '...' 'http://your-fireshare-server/api/uploadChunked/public?checkSum=../../../../etc/passwd' -v• python: If you have access to the Fireshare application code, review the app/server/fireshare/api.py file for the vulnerable upload logic and ensure the fix is correctly implemented.
disclosure
patch
Statut de l'Exploit
EPSS
0.06% (percentile 18%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à niveau Fireshare vers la version 1.5.3 ou supérieure, qui corrige cette vulnérabilité. Si la mise à niveau n'est pas immédiatement possible, une solution de contournement temporaire consiste à restreindre l'accès à l'endpoint /api/uploadChunked/public via un pare-feu d'application web (WAF) ou un proxy inverse. Configurez des règles pour bloquer les requêtes contenant des caractères de traversal de chemin (par exemple, ../) dans le paramètre checkSum. Surveillez attentivement les journaux du serveur pour détecter toute tentative d'écriture de fichiers non autorisée. En cas de suspicion d'exploitation, isolez immédiatement le serveur affecté.
Mettez à jour vers la version 1.5.3 ou supérieure. Cette version corrige la vulnérabilité de traversée de chemin dans le point de terminaison /api/uploadChunked/public. La mise à jour empêchera les attaquants non authentifiés d'écrire des fichiers arbitraires sur le système.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-34745 is a critical Path Traversal vulnerability in Fireshare versions prior to 1.5.3, allowing unauthenticated attackers to write arbitrary files to the server's filesystem.
You are affected if you are running Fireshare version 1.5.3 or earlier. Immediately upgrade to the latest version to mitigate the risk.
The recommended fix is to upgrade Fireshare to version 1.5.3 or later. As a temporary workaround, implement a WAF rule to block suspicious requests to the vulnerable endpoint.
While no public exploits are currently known, the vulnerability's severity and ease of exploitation suggest a high probability of exploitation. Continuous monitoring is advised.
Refer to the Fireshare project's official website or security advisories for the latest information and updates regarding CVE-2026-34745.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier requirements.txt et nous te dirons instantanément si tu es affecté.