CVE-2026-2753
Publiée le 2026-03-06 · Dernière modification le 2026-06-17
Navtor NavBox est affecté par une faille qui permet à des attaquants distants de lire des fichiers arbitraires sur le système de fichiers du serveur. Comme le logiciel ne nettoie pas les entrées de chemin (path inputs), un utilisateur non authentifié peut simplement envoyer une requête HTTP spécialement conçue pour récupérer des fichiers de configuration sensibles ou des données système. Cette attaque est facile à exécuter via un réseau et ne nécessite aucune connexion préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An Absolute Path Traversal vulnerability exists in Navtor NavBox. The application exposes an HTTP service that fails to properly sanitize user-supplied path input. Unauthenticated remote attackers can exploit this issue by submitting requests containing absolute filesystem paths. Successful exploitation allows the attacker to retrieve arbitrary files from the underlying filesystem, limited only by the privileges of the service process. This can lead to the exposure of sensitive configuration files and system information.