Platform
nodejs
Component
oneuptime
Opgelost in
10.0.22
CVE-2026-30958 beschrijft een Path Traversal kwetsbaarheid in OneUptime, een oplossing voor het monitoren en beheren van online services. Deze kwetsbaarheid stelt een aanvaller in staat om ongeautoriseerd bestanden van de server te lezen. De kwetsbaarheid treedt op in versies van OneUptime tot en met 10.0.21 en is verholpen in versie 10.0.21.
Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op de server te lezen, waaronder configuratiebestanden, broncode en gevoelige gegevens. Dit kan leiden tot een compromittering van de gehele server en de daaraan gekoppelde data. De impact is aanzienlijk, omdat de aanvaller geen authenticatie nodig heeft om de kwetsbaarheid te exploiteren. De kwetsbaarheid bevindt zich in het /workflow/docs/:componentName endpoint, wat het relatief eenvoudig maakt om te vinden en te exploiteren.
Deze kwetsbaarheid is openbaar bekend gemaakt op 2026-03-10. Er zijn momenteel geen publieke proof-of-concept exploits beschikbaar, maar de eenvoud van de kwetsbaarheid maakt het waarschijnlijk dat deze in de toekomst zullen verschijnen. De KEV status is momenteel onbekend. Het is belangrijk om deze kwetsbaarheid serieus te nemen en zo snel mogelijk te mitigeren.
Organizations utilizing OneUptime for service monitoring and management, particularly those running versions prior to 10.0.21, are at risk. Shared hosting environments where OneUptime is deployed alongside other applications are especially vulnerable, as a compromise of OneUptime could potentially lead to lateral movement and impact other tenants.
• nodejs / server:
find /var/log/oneuptime -type f -name '*.log' | grep -i "/workflow/docs/" • generic web:
curl -I 'http://<oneuptime_ip>/workflow/docs/../../../../etc/passwd' # Attempt to access sensitive filesdisclosure
Exploit Status
EPSS
0.14% (35% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2026-30958 is het upgraden van OneUptime naar versie 10.0.21 of hoger. Indien een upgrade direct niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot het /workflow/docs/:componentName endpoint via een firewall of reverse proxy. Configureer de proxy om alle onbekende componentName parameters te blokkeren. Controleer de serverlogs op verdachte activiteit rond dit endpoint.
Werk OneUptime bij naar versie 10.0.21 of hoger. Deze versie corrigeert de path traversal kwetsbaarheid die het lezen van willekeurige bestanden zonder authenticatie mogelijk maakt. De update kan worden uitgevoerd via het beheerpaneel van OneUptime of door de update-instructies van de leverancier te volgen.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-30958 is a Path Traversal vulnerability affecting OneUptime versions before 10.0.21. It allows unauthenticated attackers to read arbitrary files from the server's filesystem.
Yes, if you are running OneUptime version 10.0.21 or earlier, you are vulnerable to this Path Traversal vulnerability.
Upgrade OneUptime to version 10.0.21 or later to resolve this vulnerability. Consider WAF rules as a temporary mitigation.
Currently, there are no confirmed reports of active exploitation, but the vulnerability's ease of exploitation suggests potential for future attacks.
Refer to the OneUptime official security advisory for detailed information and updates regarding CVE-2026-30958.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.