CVE-2026-24741描述了ConvertX中一个路径遍历漏洞。该漏洞允许攻击者通过构造恶意请求，删除服务器上的任意文件，造成严重的安全风险。受影响的版本包括ConvertX 0.17.0之前的版本。已发布安全补丁，建议用户尽快升级至0.17.0版本。
该路径遍历漏洞的潜在影响非常严重。攻击者可以利用此漏洞删除关键系统文件、配置文件或用户数据，导致服务中断、数据泄露甚至系统崩溃。攻击者可以利用此漏洞获取服务器的敏感信息，并可能进一步进行横向移动，攻击其他系统。由于unlink函数执行删除操作，攻击者对服务器文件系统的权限将直接影响其攻击范围。如果服务器运行在具有高权限的用户下，攻击者可能能够删除整个系统，造成不可逆的损害。
该漏洞已公开披露，且由于其相对简单易懂的利用方式，存在被恶意利用的风险。目前尚未观察到大规模的利用活动，但由于漏洞的严重性，建议尽快采取缓解措施。该漏洞可能被添加到CISA KEV目录中，以提醒组织注意其潜在风险。
Self-hosting users of ConvertX are at risk, particularly those running versions prior to 0.17.0. Shared hosting environments where ConvertX is installed may also be vulnerable if the hosting provider has not applied the necessary security updates. Users who have configured ConvertX with overly permissive file system permissions are at higher risk.
disclosure
漏洞利用状态
EPSS
0.13% (32% 百分位)
CISA SSVC
CVSS 向量
缓解此漏洞的首要措施是立即升级到ConvertX 0.17.0版本或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制服务器的文件系统权限，确保ConvertX进程只能访问其必要的文件。实施严格的输入验证，过滤掉任何包含路径遍历序列的filename参数。配置Web应用防火墙（WAF），以检测和阻止包含路径遍历攻击模式的请求。监控服务器的日志文件，查找任何异常的文件删除活动。
Actualice ConvertX a la versión 0.17.0 o posterior. Esta versión corrige la vulnerabilidad de path traversal en el endpoint `/delete`. La actualización evitará que atacantes eliminen archivos arbitrarios en el sistema.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-24741描述了ConvertX版本小于等于0.17.0中存在的路径遍历漏洞，攻击者可以通过构造恶意请求删除服务器上的任意文件。
如果您正在使用ConvertX 0.17.0 之前的版本，则可能受到此漏洞的影响。请立即升级至0.17.0版本或更高版本。
最有效的修复方法是升级到ConvertX 0.17.0版本或更高版本。如果无法立即升级，请实施临时缓解措施，例如限制文件系统权限和实施输入验证。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的严重性，存在被恶意利用的风险。建议尽快采取缓解措施。
请访问ConvertX官方网站或GitHub仓库，查找关于CVE-2026-24741的官方安全公告。