Path Traversal в BugTracker.NET (CVE-2026-92533)

В BugTracker.NET — популярной системе отслеживания ошибок с открытым исходным кодом — выявлена уязвимость класса Path Traversal (обход пути). Проблема затрагивает компонент загрузки файлов и представляет серьёзную угрозу для конфиденциальности данных, размещённых на сервере.

Подробности

Уязвимость получила идентификатор CVE-2026-92533 и оценку CVSS 7.1, что соответствует высокому уровню критичности (HIGH). Суть проблемы заключается в том, что параметр, используемый для указания имени файла в компоненте загрузки, не выполняет должной проверки путей, поступающих от пользователя. Это позволяет атакующему подставить специально сформированный путь (например, с последовательностями вида «../») и выйти за пределы каталога, предназначенного для хранения файлов. Эксплуатация возможна удалённо, однако требует наличия аутентификации: злоумышленник должен располагать действующей учётной записью в приложении. При успешной атаке он сможет прочитать системные файлы, доступные той учётной записи, от имени которой работает приложение. Это может привести к утечке конфигурационных данных, учётных данных, ключей и другой чувствительной информации, что в дальнейшем упрощает развитие атаки и повышает её масштаб. Продукт: BugTracker.NET. Конкретные уязвимые версии в записи CVE не уточняются, поэтому рекомендуется исходить из того, что проблема может затрагивать используемую вами сборку, и проверить наличие обновлений.

Что делать

Основная рекомендация — обновить BugTracker.NET до версии, в которой устранена уязвимость. Поскольку официальные данные о конкретной исправленной версии в записи CVE не приведены, следует обратиться к источникам проекта BugTracker.NET и отслеживать выпуск патчей. Если обновление невозможно в краткосрочной перспективе, примените следующие меры: — ограничьте доступ к компоненту загрузки файлов, разрешив его использование только доверенным пользователям; — проверьте права учётной записи, от имени которой работает приложение, и убедитесь, что она не имеет лишних привилегий (принцип наименьших привилегий); — разместите приложение в изолированном сегменте сети, чтобы ограничить доступ к файловой системе хоста; — используйте средства защиты (WAF) для фильтрации запросов, содержащих подозрительные последовательности обхода пути; — проанализируйте журналы на предмет попыток обращения к файлам за пределами разрешённого каталога. Также стоит провести аудит — не были ли скомпрометированы файлы на сервере до установки исправлений. Итог: CVE-2026-92533 — это высококритичная уязвимость обхода пути в BugTracker.NET, позволяющая аутентифицированному атакующему читать файлы за пределами разрешённой директории. Ключевая мера защиты — своевременное обновление продукта и ограничение прав учётной записи приложения.

Источник: CVE Project (cvelistV5)