CVE-2026-88940: уязвимость перечисления каталогов в knowns до 0.33.0
В knowns-dev knowns вплоть до версии 0.33.0 обнаружена уязвимость среднего уровня опасности (CVSS 6.9), позволяющая удалённому атакующему перечислять произвольные каталоги на файловой системе хоста через параметр path в endpoint просмотра рабочего пространства. Уязвимость касается всех развёртываний затронутых версий, доступных по сети.
Подробности
Уязвимость относится к классу «обход пути» (path traversal) и заключается в том, что endpoint просмотра рабочего пространства не выполняет валидацию параметра path в запросе. В результате удалённый атакующий, не прошедший аутентификацию, может передавать произвольные значения этого параметра и получать перечисление содержимого каталогов на хостовой файловой системе. Согласно описанию, эксплуатация позволяет злоумышленнику перемещаться по структуре каталогов, обнаруживать каталоги проектов и определять цели для дальнейших атак. Уязвимость не требует特殊ных условий — достаточно сетевого доступа к уязвимому endpoint. Оценка по CVSS составляет 6.9, что соответствует среднему уровню опасности. Проблема характерна для приложений, которые принимают пути к файлам или каталогам напрямую от пользователя без нормализации и проверки на выход за пределы разрешённой директории.Что делать
Основная рекомендация — обновить knowns-dev knowns до версии выше 0.33.0, если такая доступна, поскольку в ней должна быть устранена валидация параметра path. Перед обновлением следует проверить наличие новой версии в официальных источниках проекта. Если обновление невозможно, целесообразно применить следующие меры: - Ограничить сетевой доступ к endpoint просмотра рабочего пространства, оставив его только для доверенных сегментов сети. - Внедрить на уровне reverse proxy или WAF правила, блокирующие последовательности вида «../» и иные попытки обхода пути в параметрах запроса. - Провести нормализацию и валидацию пути на стороне приложения: сверять итоговый абсолютный путь с разрешённым базовым каталогом и отклонять запросы, выходящие за его пределы. - Включить журналирование обращений к endpoint для обнаружения попыток перечисления каталогов. Также стоит оценить, не был ли уже скомпрометирован хост: наличие перечисления каталогов может быть первым шагом перед более серьёзными атаками. Итог: CVE-2026-88940 — умеренно опасная уязвимость в knowns-dev knowns до 0.33.0, позволяющая удалённо перечислять произвольные каталоги. Ключевая мера защиты — обновление продукта; при невозможности обновления помогут сетевые ограничения и фильтрация параметра path.Источник: CVE Project (cvelistV5)