Veille sécuritéBackend & données
P4Faible
Le backend de stockage local d’uploadfs ne neutralise pas les chemins fournis et les concatène directement au chemin du répertoire de téléversement, ce qui permet une traversée de répertoires. Mettez à niveau uploadfs vers 1.28.0; la source décrit un risque de lecture, écriture ou suppression de fichiers hors du répertoire prévu.
JavaScriptNode.js
IdentifiantCVE-2026-113651
GravitéFaible
Exploitationnon connue / non déterminée
Correctif1.28.0
Analyse technique
prefixPath() ne retire que les doubles barres obliques et le backend local concatène le chemin fourni avec uploadsPath sans normaliser ni rejeter les séquences ../.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-20T18:21:59Z, dans la période retenue; il identifie uploadfs 1.28.0 comme version corrigée.
ImpactSelon l’avis, une traversée de chemin peut permettre la lecture, l’écriture ou la suppression de fichiers sur le système hôte, sous réserve des conditions d’exposition du backend.
Versions affectéesuploadfs < 1.28.0
Version corrigée1.28.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.3
Publication2026-10-20T18:21:59Z
Mise à jour2026-10-20T18:22:01Z
Action recommandée
Mettre à niveau uploadfs vers 1.28.0.
Sources
Priorisation DFS : P4 · 1 source(s).